Коды событий в журнале безопасности windows

16 марта 2017

18 января 2019

8894

Операционная система Windows, системные службы и приложения записывают события и ошибки в системные журналы, чтобы в дальнейшем у системного администратора была возможность проверки операционной системы и диагностики проблем.

Получить доступ к этим записям можно через встроенное приложение Просмотр событий (Event Viewer). Есть несколько вариантов запуска данного приложения:

• через меню Пуск – Средства администрирования Windows – >Просмотр событий (Start – Windows Administrative Tools – Event Viewer);
• в командной строке или в окне Выполнить набрать eventvwr.msc:

В Диспетчере серверов в разделе Средства выбрать Просмотр событий (Server Manager – Tools – Event Viewer):

Описание интерфейса программы

Окно программы состоит из следующих компонентов:

• Панель навигации позволяет выбрать конкретный журнал, записи которого необходимо просмотреть;
• Список событий, содержащийся в выбранном журнале. В колонках выведена базовая информация о событии. Их можно отсортировать по датам, типам, категориям событий и т.д.;
• Детальная информация о выбранном во второй панели событии. Также детальную информацию можно открыть в отдельном окне, если кликнуть по нужному событию два раза;
• Панель быстрых действий, которые можно совершить с данным журналом или событием. Действия также доступны в контекстном меню (клик правой кнопкой мыши по журналу или событию).

Для удобства просмотра и управления системные журналы разбиты по категориям:

• Приложения (Application) – как и гласит название, содержит события и ошибки приложений;
• Безопасность (Security) – если в операционной системе включена и настроена функция аудита, журнал будет содержать записи, связанные с отслеживанием соответствующих событий (например, авторизация пользователя или попытки неудачного входа в операционную систему);
• Система (System) – здесь регистрируются события операционной системы и системных сервисов;
• Установка (Setup) – события, связанные с инсталляцией обновлений Windows, дополнительных приложений.

В разделе Журналы приложений и служб (Applications and Services Logs) можно найти более детальную информацию о событиях отдельных служб и приложений, зарегистрированных в операционной системе, что бывает полезно при диагностике проблем в работе отдельных сервисов.

Сами события также разделяются на типы:

• Сведения (Information) — информируют о штатной работе приложений.
• Предупреждение (Warning) — событие, свидетельствующее о возможных проблемах в будущем (например, заканчивается свободное место на диске – приложения могут продолжать работу в штатном режиме, но когда место закончится совсем, работа будет невозможна).
• Ошибка (Error) — проблема, ведущая к деградации приложения или службы, потерям данных.
• Критическое (Critical) — значительная проблема, ведущая к неработоспособности приложения или службы.
• Аудит успеха (Success audit) — событие журнала Безопасность (Security), обозначающее успешно осуществленное действие, для которого включено отслеживание (например, успешный вход в систему).
• Аудит отказа (Failure audit) — событие журнала Безопасность (Security) обозначающее безуспешную попытку осуществить действие, для которого включено отслеживание (например, ошибка входа в систему).

Работа с журналами

Службы и приложения могут генерировать огромное количество самых разнообразных событий. Для простоты доступа к нужным записям журнала можно использовать функцию фильтрации журнала:

Правый клик по журналу – Фильтр текущего журнала… (>Filter Current Log…), либо выбрать данную функцию в панели быстрых действий. Открывшееся окно позволяет настроить фильтр и отобразить только те события, которые необходимы в данный момент:

Можно задать временной период, уровни события, выбрать журналы и конкретные источники событий. Если известны коды событий, которые нужно включить или исключить из фильтра, их также можно указать.

Когда необходимость в фильтрации событий отпадет, ее можно отключить действием Очистить фильтр (Clear Filter):

Приложение Просмотр событий (Event Viewer) позволяет также настроить дополнительные свойства журналов. Доступ к настройкам можно получить через панель быстрых действий, либо через контекстное меню журнала – правый клик по журналу – Свойства (Properties):

В открывшемся окне настроек можно увидеть путь, по которому сохраняется файл журнала, текущий размер, а также можно задать максимальный размер файла:

В нижней части окна можно выбрать вариант действия при достижении журналом максимального значения:

• Переписывать события при необходимости (Overwrite events as needed) – новое событие будет записываться поверх самого старого события в журнале, таким образом будут доступны события только за определенный диапазон времени.
• Архивировать журнал при заполнении (Overwrite the log when full) – заполненный журнал будет сохранен, последующие события будут записываться в новый файл журнала. При необходимости доступа к старым событиям, архивный файл можно будет открыть в приложении Просмотр событий (Event Viewer).
• Не переписывать события (Do not overwrite events) – при заполнении журнала выдается системное сообщение о необходимости очистить журнал, старые события не перезаписываются.

Аverage rating : 5

Оценок: 1

191028
Санкт-Петербург
Литейный пр., д. 26, Лит. А

+7 (812) 403-06-99

700
300

ООО «ИТГЛОБАЛКОМ ЛАБС»

191028
Санкт-Петербург
Литейный пр., д. 26, Лит. А

+7 (812) 403-06-99

700
300

ООО «ИТГЛОБАЛКОМ ЛАБС»

700
300

4618 N/A High A monitored security event pattern has occurred. 4649 N/A High A replay attack was detected. May be a harmless false positive due to misconfiguration error. 4719 612 High System audit policy was changed. 4765 N/A High SID History was added to an account. 4766 N/A High An attempt to add SID History to an account failed. 4794 N/A High An attempt was made to set the Directory Services Restore Mode. 4897 801 High Role separation enabled: 4964 N/A High Special groups have been assigned to a new logon. 5124 N/A High A security setting was updated on the OCSP Responder Service N/A 550 Medium to High Possible denial-of-service (DoS) attack 1102 517 Medium to High The audit log was cleared 4621 N/A Medium Administrator recovered system from CrashOnAuditFail. Users who are not administrators will now be allowed to log on. Some auditable activity might not have been recorded. 4675 N/A Medium SIDs were filtered. 4692 N/A Medium Backup of data protection master key was attempted. 4693 N/A Medium Recovery of data protection master key was attempted. 4706 610 Medium A new trust was created to a domain. 4713 617 Medium Kerberos policy was changed. 4714 618 Medium Encrypted data recovery policy was changed. 4715 N/A Medium The audit policy (SACL) on an object was changed. 4716 620 Medium Trusted domain information was modified. 4724 628 Medium An attempt was made to reset an account’s password. 4727 631 Medium A security-enabled global group was created. 4735 639 Medium A security-enabled local group was changed. 4737 641 Medium A security-enabled global group was changed. 4739 643 Medium Domain Policy was changed. 4754 658 Medium A security-enabled universal group was created. 4755 659 Medium A security-enabled universal group was changed. 4764 667 Medium A security-disabled group was deleted 4764 668 Medium A group’s type was changed. 4780 684 Medium The ACL was set on accounts which are members of administrators groups. 4816 N/A Medium RPC detected an integrity violation while decrypting an incoming message. 4865 N/A Medium A trusted forest information entry was added. 4866 N/A Medium A trusted forest information entry was removed. 4867 N/A Medium A trusted forest information entry was modified. 4868 772 Medium The certificate manager denied a pending certificate request. 4870 774 Medium Certificate Services revoked a certificate. 4882 786 Medium The security permissions for Certificate Services changed. 4885 789 Medium The audit filter for Certificate Services changed. 4890 794 Medium The certificate manager settings for Certificate Services changed. 4892 796 Medium A property of Certificate Services changed. 4896 800 Medium One or more rows have been deleted from the certificate database. 4906 N/A Medium The CrashOnAuditFail value has changed. 4907 N/A Medium Auditing settings on object were changed. 4908 N/A Medium Special Groups Logon table modified. 4912 807 Medium Per User Audit Policy was changed. 4960 N/A Medium IPsec dropped an inbound packet that failed an integrity check. If this problem persists, it could indicate a network issue or that packets are being modified in transit to this computer. Verify that the packets sent from the remote computer are the same as those received by this computer. This error might also indicate interoperability problems with other IPsec implementations. 4961 N/A Medium IPsec dropped an inbound packet that failed a replay check. If this problem persists, it could indicate a replay attack against this computer. 4962 N/A Medium IPsec dropped an inbound packet that failed a replay check. The inbound packet had too low a sequence number to ensure it was not a replay. 4963 N/A Medium IPsec dropped an inbound clear text packet that should have been secured. This is usually due to the remote computer changing its IPsec policy without informing this computer. This could also be a spoofing attack attempt. 4965 N/A Medium IPsec received a packet from a remote computer with an incorrect Security Parameter Index (SPI). This is usually caused by malfunctioning hardware that is corrupting packets. If these errors persist, verify that the packets sent from the remote computer are the same as those received by this computer. This error may also indicate interoperability problems with other IPsec implementations. In that case, if connectivity is not impeded, then these events can be ignored. 4976 N/A Medium During Main Mode negotiation, IPsec received an invalid negotiation packet. If this problem persists, it could indicate a network issue or an attempt to modify or replay this negotiation. 4977 N/A Medium During Quick Mode negotiation, IPsec received an invalid negotiation packet. If this problem persists, it could indicate a network issue or an attempt to modify or replay this negotiation. 4978 N/A Medium During Extended Mode negotiation, IPsec received an invalid negotiation packet. If this problem persists, it could indicate a network issue or an attempt to modify or replay this negotiation. 4983 N/A Medium An IPsec Extended Mode negotiation failed. The corresponding Main Mode security association has been deleted. 4984 N/A Medium An IPsec Extended Mode negotiation failed. The corresponding Main Mode security association has been deleted. 5027 N/A Medium The Windows Firewall Service was unable to retrieve the security policy from the local storage. The service will continue enforcing the current policy. 5028 N/A Medium The Windows Firewall Service was unable to parse the new security policy. The service will continue with currently enforced policy. 5029 N/A Medium The Windows Firewall Service failed to initialize the driver. The service will continue to enforce the current policy. 5030 N/A Medium The Windows Firewall Service failed to start. 5035 N/A Medium The Windows Firewall Driver failed to start. 5037 N/A Medium The Windows Firewall Driver detected critical runtime error. Terminating. 5038 N/A Medium Code integrity determined that the image hash of a file is not valid. The file could be corrupt due to unauthorized modification or the invalid hash could indicate a potential disk device error. 5120 N/A Medium OCSP Responder Service Started 5121 N/A Medium OCSP Responder Service Stopped 5122 N/A Medium A configuration entry changed in OCSP Responder Service 5123 N/A Medium A configuration entry changed in OCSP Responder Service 5376 N/A Medium Credential Manager credentials were backed up. 5377 N/A Medium Credential Manager credentials were restored from a backup. 5453 N/A Medium An IPsec negotiation with a remote computer failed because the IKE and AuthIP IPsec Keying Modules (IKEEXT) service is not started. 5480 N/A Medium IPsec Services failed to get the complete list of network interfaces on the computer. This poses a potential security risk because some of the network interfaces may not get the protection provided by the applied IPsec filters. Use the IP Security Monitor snap-in to diagnose the problem. 5483 N/A Medium IPsec Services failed to initialize RPC server. IPsec Services could not be started. 5484 N/A Medium IPsec Services has experienced a critical failure and has been shut down. The shutdown of IPsec Services can put the computer at greater risk of network attack or expose the computer to potential security risks. 5485 N/A Medium IPsec Services failed to process some IPsec filters on a plug-and-play event for network interfaces. This poses a potential security risk because some of the network interfaces may not get the protection provided by the applied IPsec filters. Use the IP Security Monitor snap-in to diagnose the problem. 6145 N/A Medium One or more errors occurred while processing security policy in the Group Policy objects. 6273 N/A Medium Network Policy Server denied access to a user. 6274 N/A Medium Network Policy Server discarded the request for a user. 6275 N/A Medium Network Policy Server discarded the accounting request for a user. 6276 N/A Medium Network Policy Server quarantined a user. 6277 N/A Medium Network Policy Server granted access to a user but put it on probation because the host did not meet the defined health policy. 6278 N/A Medium Network Policy Server granted full access to a user because the host met the defined health policy. 6279 N/A Medium Network Policy Server locked the user account due to repeated failed authentication attempts. 6280 N/A Medium Network Policy Server unlocked the user account. — 640 Medium General account database changed — 619 Medium Quality of Service Policy changed 24586 N/A Medium An error was encountered converting volume 24592 N/A Medium An attempt to automatically restart conversion on volume %2 failed. 24593 N/A Medium Metadata write: Volume %2 returning errors while trying to modify metadata. If failures continue, decrypt volume 24594 N/A Medium Metadata rebuild: An attempt to write a copy of metadata on volume %2 failed and may appear as disk corruption. If failures continue, decrypt volume. 4608 512 Low Windows is starting up. 4609 513 Low Windows is shutting down. 4610 514 Low An authentication package has been loaded by the Local Security Authority. 4611 515 Low A trusted logon process has been registered with the Local Security Authority. 4612 516 Low Internal resources allocated for the queuing of audit messages have been exhausted, leading to the loss of some audits. 4614 518 Low A notification package has been loaded by the Security Account Manager. 4615 519 Low Invalid use of LPC port. 4616 520 Low The system time was changed. 4622 N/A Low A security package has been loaded by the Local Security Authority. 4624 528,540 Low An account was successfully logged on. 4625 529-537,539 Low An account failed to log on. 4634 538 Low An account was logged off. 4646 N/A Low IKE DoS-prevention mode started. 4647 551 Low User initiated logoff. 4648 552 Low A logon was attempted using explicit credentials. 4650 N/A Low An IPsec Main Mode security association was established. Extended Mode was not enabled. Certificate authentication was not used. 4651 N/A Low An IPsec Main Mode security association was established. Extended Mode was not enabled. A certificate was used for authentication. 4652 N/A Low An IPsec Main Mode negotiation failed. 4653 N/A Low An IPsec Main Mode negotiation failed. 4654 N/A Low An IPsec Quick Mode negotiation failed. 4655 N/A Low An IPsec Main Mode security association ended. 4656 560 Low A handle to an object was requested. 4657 567 Low A registry value was modified. 4658 562 Low The handle to an object was closed. 4659 N/A Low A handle to an object was requested with intent to delete. 4660 564 Low An object was deleted. 4661 565 Low A handle to an object was requested. 4662 566 Low An operation was performed on an object. 4663 567 Low An attempt was made to access an object. 4664 N/A Low An attempt was made to create a hard link. 4665 N/A Low An attempt was made to create an application client context. 4666 N/A Low An application attempted an operation: 4667 N/A Low An application client context was deleted. 4668 N/A Low An application was initialized. 4670 N/A Low Permissions on an object were changed. 4671 N/A Low An application attempted to access a blocked ordinal through the TBS. 4672 576 Low Special privileges assigned to new logon. 4673 577 Low A privileged service was called. 4674 578 Low An operation was attempted on a privileged object. 4688 592 Low A new process has been created. 4689 593 Low A process has exited. 4690 594 Low An attempt was made to duplicate a handle to an object. 4691 595 Low Indirect access to an object was requested. 4694 N/A Low Protection of auditable protected data was attempted. 4695 N/A Low Unprotection of auditable protected data was attempted. 4696 600 Low A primary token was assigned to process. 4697 601 Low Attempt to install a service 4698 602 Low A scheduled task was created. 4699 602 Low A scheduled task was deleted. 4700 602 Low A scheduled task was enabled. 4701 602 Low A scheduled task was disabled. 4702 602 Low A scheduled task was updated. 4704 608 Low A user right was assigned. 4705 609 Low A user right was removed. 4707 611 Low A trust to a domain was removed. 4709 N/A Low IPsec Services was started. 4710 N/A Low IPsec Services was disabled. 4711 N/A Low May contain any one of the following: PAStore Engine applied locally cached copy of Active Directory storage IPsec policy on the computer. PAStore Engine applied Active Directory storage IPsec policy on the computer. PAStore Engine applied local registry storage IPsec policy on the computer. PAStore Engine failed to apply locally cached copy of Active Directory storage IPsec policy on the computer. PAStore Engine failed to apply Active Directory storage IPsec policy on the computer. PAStore Engine failed to apply local registry storage IPsec policy on the computer. PAStore Engine failed to apply some rules of the active IPsec policy on the computer. PAStore Engine failed to load directory storage IPsec policy on the computer. PAStore Engine loaded directory storage IPsec policy on the computer. PAStore Engine failed to load local storage IPsec policy on the computer. PAStore Engine loaded local storage IPsec policy on the computer.PAStore Engine polled for changes to the active IPsec policy and detected no changes. 4712 N/A Low IPsec Services encountered a potentially serious failure. 4717 621 Low System security access was granted to an account. 4718 622 Low System security access was removed from an account. 4720 624 Low A user account was created. 4722 626 Low A user account was enabled. 4723 627 Low An attempt was made to change an account’s password. 4725 629 Low A user account was disabled. 4726 630 Low A user account was deleted. 4728 632 Low A member was added to a security-enabled global group. 4729 633 Low A member was removed from a security-enabled global group. 4730 634 Low A security-enabled global group was deleted. 4731 635 Low A security-enabled local group was created. 4732 636 Low A member was added to a security-enabled local group. 4733 637 Low A member was removed from a security-enabled local group. 4734 638 Low A security-enabled local group was deleted. 4738 642 Low A user account was changed. 4740 644 Low A user account was locked out. 4741 645 Low A computer account was changed. 4742 646 Low A computer account was changed. 4743 647 Low A computer account was deleted. 4744 648 Low A security-disabled local group was created. 4745 649 Low A security-disabled local group was changed. 4746 650 Low A member was added to a security-disabled local group. 4747 651 Low A member was removed from a security-disabled local group. 4748 652 Low A security-disabled local group was deleted. 4749 653 Low A security-disabled global group was created. 4750 654 Low A security-disabled global group was changed. 4751 655 Low A member was added to a security-disabled global group. 4752 656 Low A member was removed from a security-disabled global group. 4753 657 Low A security-disabled global group was deleted. 4756 660 Low A member was added to a security-enabled universal group. 4757 661 Low A member was removed from a security-enabled universal group. 4758 662 Low A security-enabled universal group was deleted. 4759 663 Low A security-disabled universal group was created. 4760 664 Low A security-disabled universal group was changed. 4761 665 Low A member was added to a security-disabled universal group. 4762 666 Low A member was removed from a security-disabled universal group. 4767 671 Low A user account was unlocked. 4768 672,676 Low A Kerberos authentication ticket (TGT) was requested. 4769 673 Low A Kerberos service ticket was requested. 4770 674 Low A Kerberos service ticket was renewed. 4771 675 Low Kerberos pre-authentication failed. 4772 672 Low A Kerberos authentication ticket request failed. 4774 678 Low An account was mapped for logon. 4775 679 Low An account could not be mapped for logon. 4776 680,681 Low The domain controller attempted to validate the credentials for an account. 4777 N/A Low The domain controller failed to validate the credentials for an account. 4778 682 Low A session was reconnected to a Window Station. 4779 683 Low A session was disconnected from a Window Station. 4781 685 Low The name of an account was changed: 4782 N/A Low The password hash an account was accessed. 4783 667 Low A basic application group was created. 4784 N/A Low A basic application group was changed. 4785 689 Low A member was added to a basic application group. 4786 690 Low A member was removed from a basic application group. 4787 691 Low A nonmember was added to a basic application group. 4788 692 Low A nonmember was removed from a basic application group. 4789 693 Low A basic application group was deleted. 4790 694 Low An LDAP query group was created. 4793 N/A Low The Password Policy Checking API was called. 4800 N/A Low The workstation was locked. 4801 N/A Low The workstation was unlocked. 4802 N/A Low The screen saver was invoked. 4803 N/A Low The screen saver was dismissed. 4864 N/A Low A namespace collision was detected. 4869 773 Low Certificate Services received a resubmitted certificate request. 4871 775 Low Certificate Services received a request to publish the certificate revocation list (CRL). 4872 776 Low Certificate Services published the certificate revocation list (CRL). 4873 777 Low A certificate request extension changed. 4874 778 Low One or more certificate request attributes changed. 4875 779 Low Certificate Services received a request to shut down. 4876 780 Low Certificate Services backup started. 4877 781 Low Certificate Services backup completed. 4878 782 Low Certificate Services restore started. 4879 783 Low Certificate Services restore completed. 4880 784 Low Certificate Services started. 4881 785 Low Certificate Services stopped. 4883 787 Low Certificate Services retrieved an archived key. 4884 788 Low Certificate Services imported a certificate into its database. 4886 790 Low Certificate Services received a certificate request. 4887 791 Low Certificate Services approved a certificate request and issued a certificate. 4888 792 Low Certificate Services denied a certificate request. 4889 793 Low Certificate Services set the status of a certificate request to pending. 4891 795 Low A configuration entry changed in Certificate Services. 4893 797 Low Certificate Services archived a key. 4894 798 Low Certificate Services imported and archived a key. 4895 799 Low Certificate Services published the CA certificate to Active Directory Domain Services. 4898 802 Low Certificate Services loaded a template. 4902 N/A Low The Per-user audit policy table was created. 4904 N/A Low An attempt was made to register a security event source. 4905 N/A Low An attempt was made to unregister a security event source. 4909 N/A Low The local policy settings for the TBS were changed. 4910 N/A Low The Group Policy settings for the TBS were changed. 4928 N/A Low An Active Directory replica source naming context was established. 4929 N/A Low An Active Directory replica source naming context was removed. 4930 N/A Low An Active Directory replica source naming context was modified. 4931 N/A Low An Active Directory replica destination naming context was modified. 4932 N/A Low Synchronization of a replica of an Active Directory naming context has begun. 4933 N/A Low Synchronization of a replica of an Active Directory naming context has ended. 4934 N/A Low Attributes of an Active Directory object were replicated. 4935 N/A Low Replication failure begins. 4936 N/A Low Replication failure ends. 4937 N/A Low A lingering object was removed from a replica. 4944 N/A Low The following policy was active when the Windows Firewall started. 4945 N/A Low A rule was listed when the Windows Firewall started. 4946 N/A Low A change has been made to Windows Firewall exception list. A rule was added. 4947 N/A Low A change has been made to Windows Firewall exception list. A rule was modified. 4948 N/A Low A change has been made to Windows Firewall exception list. A rule was deleted. 4949 N/A Low Windows Firewall settings were restored to the default values. 4950 N/A Low A Windows Firewall setting has changed. 4951 N/A Low A rule has been ignored because its major version number was not recognized by Windows Firewall. 4952 N/A Low Parts of a rule have been ignored because its minor version number was not recognized by Windows Firewall. The other parts of the rule will be enforced. 4953 N/A Low A rule has been ignored by Windows Firewall because it could not parse the rule. 4954 N/A Low Windows Firewall Group Policy settings have changed. The new settings have been applied. 4956 N/A Low Windows Firewall has changed the active profile. 4957 N/A Low Windows Firewall did not apply the following rule: 4958 N/A Low Windows Firewall did not apply the following rule because the rule referred to items not configured on this computer: 4979 N/A Low IPsec Main Mode and Extended Mode security associations were established. 4980 N/A Low IPsec Main Mode and Extended Mode security associations were established. 4981 N/A Low IPsec Main Mode and Extended Mode security associations were established. 4982 N/A Low IPsec Main Mode and Extended Mode security associations were established. 4985 N/A Low The state of a transaction has changed. 5024 N/A Low The Windows Firewall Service has started successfully. 5025 N/A Low The Windows Firewall Service has been stopped. 5031 N/A Low The Windows Firewall Service blocked an application from accepting incoming connections on the network. 5032 N/A Low Windows Firewall was unable to notify the user that it blocked an application from accepting incoming connections on the network. 5033 N/A Low The Windows Firewall Driver has started successfully. 5034 N/A Low The Windows Firewall Driver has been stopped. 5039 N/A Low A registry key was virtualized. 5040 N/A Low A change has been made to IPsec settings. An Authentication Set was added. 5041 N/A Low A change has been made to IPsec settings. An Authentication Set was modified. 5042 N/A Low A change has been made to IPsec settings. An Authentication Set was deleted. 5043 N/A Low A change has been made to IPsec settings. A Connection Security Rule was added. 5044 N/A Low A change has been made to IPsec settings. A Connection Security Rule was modified. 5045 N/A Low A change has been made to IPsec settings. A Connection Security Rule was deleted. 5046 N/A Low A change has been made to IPsec settings. A Crypto Set was added. 5047 N/A Low A change has been made to IPsec settings. A Crypto Set was modified. 5048 N/A Low A change has been made to IPsec settings. A Crypto Set was deleted. 5050 N/A Low An attempt to programmatically disable the Windows Firewall using a call to InetFwProfile.FirewallEnabled(False) 5051 N/A Low A file was virtualized. 5056 N/A Low A cryptographic self test was performed. 5057 N/A Low A cryptographic primitive operation failed. 5058 N/A Low Key file operation. 5059 N/A Low Key migration operation. 5060 N/A Low Verification operation failed. 5061 N/A Low Cryptographic operation. 5062 N/A Low A kernel-mode cryptographic self test was performed. 5063 N/A Low A cryptographic provider operation was attempted. 5064 N/A Low A cryptographic context operation was attempted. 5065 N/A Low A cryptographic context modification was attempted. 5066 N/A Low A cryptographic function operation was attempted. 5067 N/A Low A cryptographic function modification was attempted. 5068 N/A Low A cryptographic function provider operation was attempted. 5069 N/A Low A cryptographic function property operation was attempted. 5070 N/A Low A cryptographic function property modification was attempted. 5125 N/A Low A request was submitted to the OCSP Responder Service 5126 N/A Low Signing Certificate was automatically updated by the OCSP Responder Service 5127 N/A Low The OCSP Revocation Provider successfully updated the revocation information 5136 566 Low A directory service object was modified. 5137 566 Low A directory service object was created. 5138 N/A Low A directory service object was undeleted. 5139 N/A Low A directory service object was moved. 5140 N/A Low A network share object was accessed. 5141 N/A Low A directory service object was deleted. 5152 N/A Low The Windows Filtering Platform blocked a packet. 5153 N/A Low A more restrictive Windows Filtering Platform filter has blocked a packet. 5154 N/A Low The Windows Filtering Platform has permitted an application or service to listen on a port for incoming connections. 5155 N/A Low The Windows Filtering Platform has blocked an application or service from listening on a port for incoming connections. 5156 N/A Low The Windows Filtering Platform has allowed a connection. 5157 N/A Low The Windows Filtering Platform has blocked a connection. 5158 N/A Low The Windows Filtering Platform has permitted a bind to a local port. 5159 N/A Low The Windows Filtering Platform has blocked a bind to a local port. 5378 N/A Low The requested credentials delegation was disallowed by policy. 5440 N/A Low The following callout was present when the Windows Filtering Platform Base Filtering Engine started. 5441 N/A Low The following filter was present when the Windows Filtering Platform Base Filtering Engine started. 5442 N/A Low The following provider was present when the Windows Filtering Platform Base Filtering Engine started. 5443 N/A Low The following provider context was present when the Windows Filtering Platform Base Filtering Engine started. 5444 N/A Low The following sublayer was present when the Windows Filtering Platform Base Filtering Engine started. 5446 N/A Low A Windows Filtering Platform callout has been changed. 5447 N/A Low A Windows Filtering Platform filter has been changed. 5448 N/A Low A Windows Filtering Platform provider has been changed. 5449 N/A Low A Windows Filtering Platform provider context has been changed. 5450 N/A Low A Windows Filtering Platform sublayer has been changed. 5451 N/A Low An IPsec Quick Mode security association was established. 5452 N/A Low An IPsec Quick Mode security association ended. 5456 N/A Low PAStore Engine applied Active Directory storage IPsec policy on the computer. 5457 N/A Low PAStore Engine failed to apply Active Directory storage IPsec policy on the computer. 5458 N/A Low PAStore Engine applied locally cached copy of Active Directory storage IPsec policy on the computer. 5459 N/A Low PAStore Engine failed to apply locally cached copy of Active Directory storage IPsec policy on the computer. 5460 N/A Low PAStore Engine applied local registry storage IPsec policy on the computer. 5461 N/A Low PAStore Engine failed to apply local registry storage IPsec policy on the computer. 5462 N/A Low PAStore Engine failed to apply some rules of the active IPsec policy on the computer. Use the IP Security Monitor snap-in to diagnose the problem. 5463 N/A Low PAStore Engine polled for changes to the active IPsec policy and detected no changes. 5464 N/A Low PAStore Engine polled for changes to the active IPsec policy, detected changes, and applied them to IPsec Services. 5465 N/A Low PAStore Engine received a control for forced reloading of IPsec policy and processed the control successfully. 5466 N/A Low PAStore Engine polled for changes to the Active Directory IPsec policy, determined that Active Directory cannot be reached, and will use the cached copy of the Active Directory IPsec policy instead. Any changes made to the Active Directory IPsec policy since the last poll could not be applied. 5467 N/A Low PAStore Engine polled for changes to the Active Directory IPsec policy, determined that Active Directory can be reached, and found no changes to the policy. The cached copy of the Active Directory IPsec policy is no longer being used. 5468 N/A Low PAStore Engine polled for changes to the Active Directory IPsec policy, determined that Active Directory can be reached, found changes to the policy, and applied those changes. The cached copy of the Active Directory IPsec policy is no longer being used. 5471 N/A Low PAStore Engine loaded local storage IPsec policy on the computer. 5472 N/A Low PAStore Engine failed to load local storage IPsec policy on the computer. 5473 N/A Low PAStore Engine loaded directory storage IPsec policy on the computer. 5474 N/A Low PAStore Engine failed to load directory storage IPsec policy on the computer. 5477 N/A Low PAStore Engine failed to add quick mode filter. 5479 N/A Low IPsec Services has been shut down successfully. The shutdown of IPsec Services can put the computer at greater risk of network attack or expose the computer to potential security risks. 5632 N/A Low A request was made to authenticate to a wireless network. 5633 N/A Low A request was made to authenticate to a wired network. 5712 N/A Low A Remote Procedure Call (RPC) was attempted. 5888 N/A Low An object in the COM+ Catalog was modified. 5889 N/A Low An object was deleted from the COM+ Catalog. 5890 N/A Low An object was added to the COM+ Catalog. 6008 N/A Low The previous system shutdown was unexpected 6144 N/A Low Security policy in the Group Policy objects has been applied successfully. 6272 N/A Low Network Policy Server granted access to a user. N/A 561 Low A handle to an object was requested. N/A 563 Low Object open for delete N/A 625 Low User Account Type Changed N/A 613 Low IPsec policy agent started N/A 614 Low IPsec policy agent disabled N/A 615 Low IPsec policy agent N/A 616 Low IPsec policy agent encountered a potential serious failure 24577 N/A Low Encryption of volume started 24578 N/A Low Encryption of volume stopped 24579 N/A Low Encryption of volume completed 24580 N/A Low Decryption of volume started 24581 N/A Low Decryption of volume stopped 24582 N/A Low Decryption of volume completed 24583 N/A Low Conversion worker thread for volume started 24584 N/A Low Conversion worker thread for volume temporarily stopped 24588 N/A Low The conversion operation on volume %2 encountered a bad sector error. Please validate the data on this volume 24595 N/A Low Volume %2 contains bad clusters. These clusters will be skipped during conversion. 24621 N/A Low Initial state check: Rolling volume conversion transaction on %2. 5049 N/A Low An IPsec Security Association was deleted. 5478 N/A Low IPsec Services has started successfully.

10 критически важных event ID для мониторинга

Рэнди Франклин Смит (CISA, SSCP, Security MVP) имеет в своем арсенале очень полезный документ, рассказывающий о том, какие события (event IDs) обязательно должны отслеживаться в рамках обеспечения информационной безопасности Windows. В этом документе изложена крайне полезная информация, которая позволит Вам “выжать” максимум из штатной системы аудита. Мы подготовили перевод этого материала. Заинтересованных приглашаем под кат.

О том, как настроить аудит, мы уже обстоятельно писали в одном из наших постов. Но из всех event id, которые встречаются в журналах событий, необходимо остановить свое внимание на нескольких критических важных. На каких именно – решать каждому. Однако Рэнди Франклин Смит предлагает сосредоточить внимание на 10 важных событиях безопасности в Windows.

Контроллеры доменов

Event ID — (Категория) — Описание

1) 675 или 4771
(Аудит событий входа в систему)
Событие 675/4771 на контроллере домена указывает на неудачную попытку войти через Kerberos на рабочей станции с доменной учетной записью. Обычно причиной этого является несоответствующий пароль, но код ошибки указывает, почему именно аутентификация была неудачной. Таблица кодов ошибок Kerberos приведена ниже.

2) 676, или Failed 672 или 4768
(Аудит событий входа в систему)
Событие 676/4768 логгируется для других типов неудачной аутентификации. Таблица кодов Kerberos приведена ниже.
ВНИМАНИЕ: В Windows 2003 Server событие отказа записывается как 672 вместо 676.

3) 681 или Failed 680 или 4776
(Аудит событий входа в систему)
Событие 681/4776 на контроллере домена указывает на неудачную попытку входа в систему через
NTLM с доменной учетной записью. Код ошибки указывает, почему именно аутентификация была неудачной.
Коды ошибок NTLM приведены ниже.
ВНИМАНИЕ: В Windows 2003 Server событие отказа записывается как 680 вместо 681.

4) 642 или 4738
(Аудит управления учетными записями)
Событие 642/4738 указывает на изменения в указанной учетной записи, такие как сброс пароля или активация деактивированной до этого учетной записи. Описание события уточняется в соответствие с типом изменения.

5) 632 или 4728; 636 или 4732; 660 или 4756
(Аудит управления учетными записями)
Все три события указывают на то, что указанный пользователь был добавлен в определенную группу. Обозначены Глобальная (Global), Локальная (Local) и Общая (Universal) соответственно для каждого ID.

6) 624 или 4720
(Аудит управления учетными записями)
Была создана новая учетная запись пользователя

7) 644 или 4740
(Аудит управления учетными записями)
Учетная запись указанного пользователя была заблокирована после нескольких попыток входа

517 или 1102
(Аудит системных событий)
Указанный пользователь очистил журнал безопасности

Вход и выход из системы (Logon/Logoff)

Event Id — Описание

528 или 4624 — Успешный вход в систему
529 или 4625 — Отказ входа в систему – Неизвестное имя пользователя или неверный пароль
530 или 4625 Отказ входа в систему – Вход в систему не был осуществлен в течение обозначенного периода времени
531 или 4625 — Отказ входа в систему – Учетная запись временно деактивирована
532 или 4625 — Отказ входа в систему – Срок использования указанной учетной записи истек
533 или 4625 — Отказ входа в систему – Пользователю не разрешается осуществлять вход в систему на данном компьютере
534 или 4625 или 5461 — Отказ входа в систему – Пользователь не был разрешен запрашиваемый тип входа на данном компьютере
535 или 4625 — Отказ входа в систему – Срок действия пароля указанной учетной записи истек
539 или 4625 — Отказ входа в систему – Учетная запись заблокирована
540 или 4624 — Успешный сетевой вход в систему (Только Windows 2000, XP, 2003)

Типы входов в систему (Logon Types)

Тип входа в систему — Описание

2 — Интерактивный (вход с клавиатуры или экрана системы)
3 — Сетевой (например, подключение к общей папке на этом компьютере из любого места в сети или IIS вход — Никогда не заходил 528 на Windows Server 2000 и выше. См. событие 540)
4 — Пакет (batch) (например, запланированная задача)
5 — Служба (Запуск службы)
7 — Разблокировка (например, необслуживаемая рабочая станция с защищенным паролем скринсейвером)
8 — NetworkCleartext (Вход с полномочиями (credentials), отправленными в виде простого текст. Часто обозначает вход в IIS с “базовой аутентификацией”)
9 — NewCredentials
10 — RemoteInteractive (Терминальные службы, Удаленный рабочий стол или удаленный помощник)
11 — CachedInteractive (вход с кешированными доменными полномочиями, например, вход на рабочую станцию, которая находится не в сети)

Коды отказов Kerberos

Код ошибки — Причина

6 — Имя пользователя не существует
12 — Ограничение рабочей машины; ограничение времени входа в систему
18 — Учетная запись деактивирована, заблокирована или истек срок ее действия
23 — Истек срок действия пароля пользователя
24 — Предварительная аутентификация не удалась; обычно причиной является неверный пароль
32 — Истек срок действия заявки. Это нормальное событие, которое логгируется учетными записями компьютеров
37 — Время на рабочей машины давно не синхронизировалось со временем на контроллере домена

Коды ошибок NTLM

Код ошибки (десятичная система) — Код ошибки (16-ричная система) — Описание

3221225572 — C0000064 — Такого имени пользователя не существует
3221225578 — C000006A — Верное имя пользователя, но неверный пароль
3221226036 — C0000234 — Учетная запись пользователя заблокирована
3221225586 — C0000072 — Учетная запись деактивирована
3221225583 — C000006F — Пользователь пытается войти в систему вне обозначенного периода времени (рабочего времени)
3221225584 — C0000070 — Ограничение рабочей станции
3221225875 — C0000193 — Истек срок действия учетной записи
3221225585 — C0000071 — Истек срок действия пароля
3221226020 — C0000224 — Пользователь должен поменять пароль при следующем входе в систему

Источник

Журнал событий в Windows 7/10 – где находится и как открыть?

Даже когда пользователь ПК не совершает никаких действий, операционная система продолжает считывать и записывать множество данных. Наиболее важные события отслеживаются и автоматически записываются в особый лог, который в Windows называется Журналом событий. Но для чего нужен такой мониторинг? Ни для кого не является секретом, что в работе операционной системы и установленных программ могут возникать сбои. Чтобы администраторы могли находить причины таких ошибок, система должна их регистрировать, что собственно она и делает.

Итак, основным предназначением Журнала событий в Windows 7/10 является сбор данных, которые могут пригодиться при устранении неисправностей в работе системы, программного обеспечения и оборудования. Впрочем, заносятся в него не только ошибки, но также и предупреждения, и вполне удачные операции, например, установка новой программы или подключение к сети.

Где находится журнал событий Windows

Физически Журнал событий представляет собой набор файлов в формате EVTX, хранящихся в системной папке %SystemRoot%/System32/Winevt/Logs.

Хотя эти файлы содержат текстовые данные, открыть их Блокнотом или другим текстовым редактором не получится, поскольку они имеют бинарный формат. Тогда как посмотреть Журнал событий в Windows 7/10, спросите вы? Очень просто, для этого в системе предусмотрена специальная штатная утилита eventvwr.

Как открыть журнал

Запустить утилиту можно из классической Панели управления, перейдя по цепочке Администрирование – Просмотр событий или выполнив в окошке Run (Win+R) команду eventvwr.msc.

В левой колонке окна утилиты можно видеть отсортированные по разделам журналы, в средней отображается список событий выбранной категории, в правой – список доступных действий с выбранным журналом, внизу располагается панель подробных сведений о конкретной записи. Всего разделов четыре: настраиваемые события, журналы Windows, журналы приложений и служб, а также подписки.

Наибольший интерес представляет раздел «Журналы Windows», именно с ним чаще всего приходится работать, выясняя причины неполадок в работе системы и программ. Журнал системных событий включает три основных и две дополнительных категории. Основные это «Система», «Приложения» и «Безопасность», дополнительные – «Установка» и «Перенаправленные события».

Категория «Система» содержит события, сгенерированные системными компонентами – драйверами и модулями Windows.

Ветка «Приложения» включает записи, созданные различными программами. Эти данные могут пригодиться как системным администраторам и разработчикам программного обеспечения, так и обычным пользователям, желающим установить причину отказа той или иной программы.

Третья категория событий «Безопасность» содержит сведения, связанные с безопасностью системы. К ним относятся входы пользователей в аккаунты, управление учётными записями, изменение разрешений и прав доступа к файлам и папкам, запуск и остановка процессов и так далее.

Так как число событий может исчисляться тысячами и даже десятками тысяч, в eventvwr предусмотрена возможность поиска и фильтрации событий по свойствам – важности, времени, источнику, имени компьютера и пользователя, коду и так далее. Допустим, вы хотите получить список системных ошибок. Выберите слева Журналы Windows – Система, справа нажмите «Фильтр текущего журнала» и отметьте в открывшемся окне галочкой уровень события – пункты «Ошибка» и «Критическое». Нажмите «OK» и утилита тут же отфильтрует записи.

Чтобы просмотреть конкретную запись, кликните по ней дважды – сведения откроются в окошке «Свойства событий».

Как использовать содержимое журнала

Хорошо, теперь мы в курсе, где находится журнал событий и как его открыть, осталось узнать, как его можно использовать. Сразу нужно сказать, что в силу своей специфичности содержащиеся в нем сведения мало что могут поведать обычному пользователю. О чем говорит, к примеру, ошибка «Регистрация сервера DCOM не выполнена за отведенное время ожидания»? Не обладающему соответствующими знаниями юзеру будет непросто определить причину неполадки, с другой стороны, что мешает поискать ответ в Интернете?

Так, описание приведенной выше ошибки имеется на сайте Microsoft и указывает оно на проблемы со SkyDrive, кстати, не представляющие совершенно никакой угрозы. Если вы не пользуетесь этим сервисом, ошибку можно игнорировать или отключить ее источник в «Планировщике заданий». А еще описание ошибки можно отправить разработчику, предварительно сохранив его в файл XML, CSV или TХT.

Также пользователи могут связывать отслеживаемые события с задачами в «Планировщике заданий». Для этого необходимо кликнуть ПКМ по записи, выбрать «Привязать задачу к событию» и создать с помощью запустившегося мастера нужное задание. В следующий раз, когда произойдет такое событие, система сама запустит выполнение задания.

Очистка, удаление и отключение журнала

На жестком диске файлы журнала занимают сравнительно немного места, тем не менее, у пользователя может возникнуть необходимость их очистить. Сделать это можно разными способами: с помощью оснастки eventvwr, командной строки и PowerShell. Для выборочной очистки вполне подойдет ручной способ. Нужно зайти в журнал событий, кликнуть ПКМ по очищаемому журналу в левой колонке и выбрать в меню опцию «Очистить журнал».

Если вы хотите полностью удалить все записи журнала, удобнее будет воспользоваться запущенной от имени администратора командной строкой. Команда очистки выглядит следующим образом:

for /F «tokens=*» %1 in (‘wevtutil.exe el’) DO wevtutil.exe cl «%1»

Вместо командной строки для быстрой и полной очистки журнала также можно воспользоваться консолью PowerShell. Откройте ее с повышенными правами и выполните в ней такую команду:

wevtutil el | Foreach-Object

При очистке через PowerShell в журнале могут остаться несколько записей. Это не беда, в крайнем случае события можно удалить вручную.

Итак, мы знаем, как открыть журнал событий, знаем, как его использовать и очищать, в завершение давайте посмотрим, как его полностью отключить, хотя делать это без особой нужды не рекомендуется, так как вместе с журналом событий отключатся некоторые, возможно нужные вам службы.

Командой services.msc откройте оснастку «Службы», справа найдите «Журнал событий Windows», кликните по нему дважды, в открывшемся окошке свойств тип запуска выберите «Отключено», а затем нажмите кнопку «Остановить».

Изменения вступят в силу после перезагрузки компьютера. Вот и все, больше системные и программные события регистрироваться не будут.

Источник

Что полезного можно вытащить из логов рабочей станции на базе ОС Windows

Пользовательская рабочая станция — самое уязвимое место инфраструктуры по части информационной безопасности. Пользователям может прийти на рабочую почту письмо вроде бы из безопасного источника, но со ссылкой на заражённый сайт. Возможно, кто-то скачает полезную для работы утилиту из неизвестно какого места. Да можно придумать не один десяток кейсов, как через пользователей вредоносное ПО может внедриться на внутрикорпоративные ресурсы. Поэтому рабочие станции требуют повышенного внимания, и в статье мы расскажем, откуда и какие события брать для отслеживания атак.

Для выявления атаки на самой ранней стадии в ОС Windows есть три полезных событийных источника: журнал событий безопасности, журнал системного мониторинга и журналы Power Shell.

Журнал событий безопасности (Security Log)

Это главное место хранения системных логов безопасности. Сюда складываются события входа/выхода пользователей, доступа к объектам, изменения политик и других активностей, связанных с безопасностью. Разумеется, если настроена соответствующая политика.

Перебор пользователей и групп (события 4798 и 4799). Вредоносное ПО в самом начале атаки часто перебирает локальные учетные записи пользователей и локальные группы на рабочей станции, чтобы найти учетные данные для своих тёмных делишек. Эти события помогут обнаружить вредоносный код раньше, чем он двинется дальше и, используя собранные данные, распространится на другие системы.

Создание локальной учётной записи и изменения в локальных группах (события 4720, 4722–4726, 4738, 4740, 4767, 4780, 4781, 4794, 5376 и 5377). Атака может также начинаться, например, с добавления нового пользователя в группу локальных администраторов.

Попытки входа с локальной учётной записью (событие 4624). Добропорядочные пользователи заходят с доменной учётной записью и выявление входа под локальной учётной записью может означать начало атаки. Событие 4624 включает также входы под доменной учетной записью, поэтому при обработке событий нужно зафильтровать события, в которых домен отличается от имени рабочей станции.

Попытка входа с заданной учётной записью (событие 4648). Такое бывает, когда процесс выполняется в режиме “Запуск от имени” (run as). В нормальном режиме работы систем такого не должно быть, поэтому такие события должны находиться под контролем.

Блокировка/разблокировка рабочей станции (события 4800-4803). К категории подозрительных событий можно отнести любые действия, которые происходили на заблокированной рабочей станции.

Изменения конфигурации файрволла (события 4944-4958). Очевидно, что при установке нового ПО настройки конфигурации файрволла могут меняться, что вызовет ложные срабатывания. Контролировать такие изменения в большинстве случаев нет необходимости, но знать о них точно лишним не будет.

Подключение устройств Plug’n’play (событие 6416 и только для WIndows 10). За этим важно следить, если пользователи обычно не подключают новые устройства к рабочей станции, а тут вдруг раз — и подключили.

Windows включает в себя 9 категорий аудита и 50 субкатегорий для тонкой настройки. Минимальный набор субкатегорий, который стоит включить в настройках:

Системный монитор (Sysmon)

Sysmon — встроенная в Windows утилита, которая умеет записывать события в системный журнал. Обычно требуется его устанавливать отдельно.

Эти же события можно в принципе найти в журнале безопасности (включив нужную политику аудита), но Sysmon даёт больше подробностей. Какие события можно забирать из Sysmon?

Создание процесса (ID события 1). Системный журнал событий безопасности тоже может сказать, когда запустился какой-нибудь *.exe и даже покажет его имя и путь запуска. Но в отличие от Sysmon не сможет показать хэш приложения. Злонамеренное ПО может называться даже безобидным notepad.exe, но именно хэш выведет его на чистую воду.

Сетевые подключения (ID события 3). Очевидно, что сетевых подключений много, и за всеми не уследить. Но важно учитывать, что Sysmon в отличие от того же Security Log умеет привязать сетевое подключение к полям ProcessID и ProcessGUID, показывает порт и IP-адреса источника и приёмника.

Изменения в системном реестре (ID события 12-14). Самый простой способ добавить себя в автозапуск — прописаться в реестре. Security Log это умеет, но Sysmon показывает, кто внёс изменения, когда, откуда, process ID и предыдущее значение ключа.

Создание файла (ID события 11). Sysmon, в отличие от Security Log, покажет не только расположение файла, но и его имя. Понятно, что за всем не уследишь, но можно же проводить аудит определённых директорий.

А теперь то, чего в политиках Security Log нет, но есть в Sysmon:

Изменение времени создания файла (ID события 2). Некоторое вредоносное ПО может подменять дату создания файла для его скрытия из отчётов с недавно созданными файлами.

Загрузка драйверов и динамических библиотек (ID событий 6-7). Отслеживание загрузки в память DLL и драйверов устройств, проверка цифровой подписи и её валидности.

Создание потока в выполняющемся процессе (ID события 8). Один из видов атаки, за которым тоже нужно следить.

События RawAccessRead (ID события 9). Операции чтения с диска при помощи “\.”. В абсолютном большинстве случаев такая активность должна считаться ненормальной.

Создание именованного файлового потока (ID события 15). Событие регистрируется, когда создается именованный файловый поток, который генерирует события с хэшем содержимого файла.

Создание named pipe и подключения (ID события 17-18). Отслеживание вредоносного кода, который коммуницирует с другими компонентами через named pipe.

Активность по WMI (ID события 19). Регистрация событий, которые генерируются при обращении к системе по протоколу WMI.

Для защиты самого Sysmon нужно отслеживать события с ID 4 (остановка и запуск Sysmon) и ID 16 (изменение конфигурации Sysmon).

Журналы Power Shell

Power Shell — мощный инструмент управления Windows-инфраструктурой, поэтому велики шансы, что атакующий выберет именно его. Для получения данных о событиях Power Shell можно использовать два источника: Windows PowerShell log и Microsoft-WindowsPowerShell / Operational log.

Windows PowerShell log

Загружен поставщик данных (ID события 600). Поставщики PowerShell — это программы, которые служат источником данных для PowerShell для просмотра и управления ими. Например, встроенными поставщиками могут быть переменные среды Windows или системный реестр. За появлением новых поставщиков нужно следить, чтобы вовремя выявить злонамеренную активность. Например, если видите, что среди поставщиков появился WSMan, значит был начат удаленный сеанс PowerShell.

Microsoft-WindowsPowerShell / Operational log (или MicrosoftWindows-PowerShellCore / Operational в PowerShell 6)

Журналирование модулей (ID события 4103). В событиях хранится информация о каждой выполненной команде и параметрах, с которыми она вызывалась.

Журналирование блокировки скриптов (ID события 4104). Журналирование блокировки скриптов показывает каждый выполненный блок кода PowerShell. Даже если злоумышленник попытается скрыть команду, этот тип события покажет фактически выполненную команду PowerShell. Ещё в этом типе события могут фиксироваться некоторые выполняемые низкоуровневые вызовы API, эти события обычно записывается как Verbose, но если подозрительная команда или сценарий используются в блоке кода, он будет зарегистрирован как c критичностью Warning.

Обратите внимание, что после настройки инструмента сбора и анализа этих событий потребуется дополнительное время на отладку для снижения количества ложных срабатываний.

Расскажите в комментариях, какие собираете логи для аудита информационной безопасности и какие инструменты для этого используете. Одно из наших направлений — решения для аудита событий информационной безопасности. Для решения задачи сбора и анализа логов можем предложить присмотреться к Quest InTrust, который умеет сжимать хранящиеся данные с коэффициентом 20:1, а один его установленный экземпляр способен обрабатывать до 60000 событий в секунду из 10000 источников.

Источник

Журнал событий в Windows: как его открыть и найти информацию об ошибке

Доброго дня!

Разумеется, в некоторых случаях эти записи могут быть очень полезными. Например, при поиске причин возникновения ошибок, синих экранов, внезапных перезагрузок и т.д. Отмечу, что если у вас установлена не официальная версия Windows — может так стать, что журналы у вас отключены. 😢

В общем, в этой заметке покажу азы работы с журналами событий в Windows (например, как найти ошибку и ее код, что несомненно поможет в диагностике).

Работа с журналом событий (для начинающих)

Как его открыть

Этот вариант универсальный и работает во всех современных версиях ОС Windows.

eventvwr — команда для вызова журнала событий

Система и безопасность

Просмотр событий — Администрирование

Актуально для пользователей Windows 10/11.

1) Нажать по значку с «лупой» на панели задач, в поисковую строку написать «событий» и в результатах поиска ОС Windows предоставит вам ссылку на журнал (см. скрин ниже). 👇

Windows 10 — события

2) Еще один способ: нажать сочетание Win+X — появится меню со ссылками на основные инструменты, среди которых будет и журнал событий.

Журналы Windows

Наибольшую пользу (по крайней мере, для начинающих пользователей) представляет раздел «Журналы Windows» (выделен на скрине выше). Довольно часто при различных неполадках приходится изучать как раз его.

В нем есть 5 вкладок, из которых 3 основных: «Приложение», «Безопасность», «Система». Именно о них пару слов подробнее:

Как найти и просмотреть ошибки (в т.ч. критические)

Надо сказать, что Windows записывает в журналы очень много различной информации (вы в этом можете убедиться, открыв любой из них). Среди стольких записей найти нужную ошибку не так просто. И именно для этого здесь предусмотрены спец. фильтры. Ниже покажу простой пример их использования.

Система — фильтр текущего журнала / Кликабельно

После указать дату, уровень события (например, ошибки), и нажать OK.

В результате вы увидите отфильтрованный список событий. Ориентируясь по дате и времени вы можете найти именно ту ошибку, которая вас интересует.

Например, на своем подопытном компьютере я нашел ошибку из-за которой он перезагрузился (благодаря коду ошибки и ее подробному описанию — можно найти решение на сайте Microsoft).

Представлены все ошибки по дате и времени их возникновения / Кликабельно

Т.е. как видите из примера — использование журнала событий очень даже помогает в решении самых разных проблем с ПК.

Можно ли отключить журналы событий

Можно! Только нужно ли? (хотя не могу не отметить, что многие считают, что на этом можно сэкономить толику дискового пространства, плюс система более отзывчива и меньше нагрузка на жесткий диск)

Для отключения журналов событий нужно:

Службы — журналы событий

Источник

Журнал событий Windows (Event Log) — это важный инструмент, который позволяет администратору отслеживать ошибки, предупреждения и другие информационные сообщения, которые регистрируются операционной системой, ее компонентами и различными программами. Для просмотра журнала событий Windows можно использовать графическую MMC оснастку Event Viewer (
eventvwr.msc
). В некоторых случаях для поиска информации в журналах событий и их анализа гораздо удобнее использовать PowerShell. В этой статье мы покажем, как получать информацию из журналов событий Windows с помощью командлета Get-WinEvent.

На данный момент в Windows доступны два командлета для доступа к событиям в Event Log: Get-EventLog и Get-WinEvent. В подавляющем большинстве случаев рекомендуем использовать именно Get-WinEvent, т.к. он более производителен, особенно в сценариях обработки большого количества событий с удаленных компьютеров. Командлет Get-EventLog является устаревшим и использовался для получения логов в более ранних версиях Windows. Кроме того, Get-EventLog не поддерживается в современных версиях PowerShell Core 7.x.

Получение логов Windows с помощью Get-WinEvent

Для использования команды Get-WinEvent нужно запустить PowerShell с правами администратора (при запуске Get-WinEvent от имени пользователя вы не сможете получить доступ к некоторым логам, например, к Security).

Для получения списка событий из определенного журнала, нужно указать его имя. В данном примере мы выведем последние 20 событий из журнала System:

Get-WinEvent -LogName Application -MaxEvents 20

Можно выбрать события сразу из нескольких журналов. Например, чтобы получить информацию о ошибках и предупреждениях из журналов System и Application за последние 24 часа (сутки), можно использовать такой код:

$StartDate = (Get-Date) - (New-TimeSpan -Day 1)
Get-WinEvent Application,System | Where-Object {($_.LevelDisplayName -eq "Error" -or $_.LevelDisplayName -eq "Warning") -and ($_.TimeCreated -ge $StartDate )}

Чтобы вывести только определенные поля событий, можно использовать Select-Object или Format-Table:

Get-WinEvent -LogName System | Format-Table Machinename, TimeCreated, Id, UserID

Можно выполнить дополнительные преобразования с полученными данными. Например, в этом примере мы сразу преобразуем имя пользователя в SID:

Get-WinEvent -filterhash @{Logname = 'system'} |
Select-Object @{Name="Computername";Expression = {$_.machinename}},@{Name="UserName";Expression = {$_.UserId.translate([System.Security.Principal.NTAccount]).value}}, TimeCreated

Get-WinEvent: быстрый поиск в событиях Event Viewer с помощью FilterHashtable

Рассмотренный выше способ выбора определенных событий из журналов Event Viewer с помощью Select-Object прост для понимая, но выполняется крайне медленно. Это особенно заметно при выборке большого количества событий. В большинстве случаев для выборки событий нужно использовать фильтрацию на стороне службы Event Viewer с помощью параметра FilterHashtable.

Попробуем сформировать список ошибок и предупреждений за 30 дней с помощью Where-Object и FilterHashtable. Сравнима скорость выполнения этих двух команд PowerShell с помощью Measure-Command:

$StartDate = (Get-Date).AddDays(-30)

Проверим скорость выполнения команды с Where-Object:

(Measure-Command {Get-WinEvent Application,System | Where-Object {($_.LevelDisplayName -eq "Error" -or $_.LevelDisplayName -eq "Warning") -and ($_.TimeCreated -ge $StartDate )}}).TotalMilliseconds

Аналогичная команда с FilterHashtable:

(Measure-Command {Get-WinEvent -FilterHashtable @{LogName = 'System','Application'; Level =2,3; StartTime=$StartDate }})..TotalMilliseconds

В данном примере видно, что команда выборки событий через FilterHashtable выполняется в 30 раз быстрее, чем если бы обычный Where-Object (
2.5
сек vs
76
секунд).

Если вам нужно найти события по EventID, используйте следующую команду с FilterHashtable:

Get-WinEvent -FilterHashtable @{logname='System';id=1074}|ft TimeCreated,Id,Message

В параметре FilterHashtable можно использовать фильтры по следующим атрибутам событий:

• LogName
• ProviderName
• Path
• Keywords (для поиска успешных событий нужно использовать значение 9007199254740992 или для неуспешных попыток 4503599627370496)
• ID
• Level (1=FATAL, 2=ERROR, 3=Warning, 4=Information, 5=DEBUG, 6=TRACE, 0=Info)
• StartTime
• EndTime
• UserID (SID пользователя)
• Data

Пример поиска события за определенный промежуток времени:

Get-WinEvent -FilterHashTable @{LogName='System'; StartTime=(get-date).AddDays(-7); EndTime=(get-date).AddHours(-1); ID=1234}

Если нужно найти определенный текст в описании события, можно использовать такую команду:

Get-WinEvent -FilterHashtable @{logname='System'}|Where {$_.Message -like "*USB*"}

Расширенный фильтры событий Get-WinEvent с помощью FilterXml

Фильтры Get-WinEvent с параметром FilterHashtable являются несколько ограниченными. Если вам нужно использовать для выборки событий сложные запросы с множеством условий, нужно использовать параметр FilterXml, который позволяет сформировать запрос на выбор событий в Event Viewer с помощью XML запроса. Как и FilterHashtable, фильтры FilterXml выполняется на стороне сервера, поэтому результат вы получите довольно быстро.

Например, аналогичный запрос для получения последних ошибок из журнала System за последние 30 дней может выглядеть так:

$xmlQuery = @'
<QueryList>
<Query Id="0" Path="System">
<Select Path="System">*[System[(Level=2 or Level=3) and TimeCreated[timediff(@SystemTime) &lt;= 2592000000]]]</Select>
</Query>
</QueryList>
'@
Get-WinEvent -FilterXML $xmlQuery

Для построения кода сложных XML запросов можно использовать графическую консоль Event Viewer:

1. Запустите
   eventvwr.msc
   ;
2. Найдите журнал для которого вы хотите создать и выберите Filter Current Log;
3. Выберите необходимые параметры запроса в форме. В этом примере я хочу найти события с определенными EventID за последние 7 дней от определенного пользователя;
4. Чтобы получить код XML запроса для параметра FilterXML, перейдите на вкладку XML и скопируйте полученный код (CTRL+A, CTRL+C);
5. Если нужно, вы можете вручную отредактировать данный запрос.

Для экспорта списка событий в CSV файл нужно использовать командлет Export-CSV:

$Events= Get-WinEvent -FilterXML $xmlQuery
$events| Export-CSV "C:psFilterSYSEvents.csv" -NoTypeInformation -Encoding UTF8

Получить логи Event Viewer с удаленных компьютеров

Для получения события с удаленного компьютер достаточно указать его имя в параметре -ComputerName:

$computer='msk-dc01'
Get-WinEvent -ComputerName $computer -FilterHashtable @{LogName="System"; StartTime=(get-date).AddHours(-24)} |   select Message,Id,TimeCreated

Можно опросить сразу несколько серверов/компьютеров и поискать на них определенные события. Список серверов можно получить из текстового файла:

$servers = Get-Content -Path C:psservers.txt

Или из Active Directory:

$servers = (Get-ADComputer -Filter 'operatingsystem -like "*Windows server*" -and enabled -eq "true"').Name
foreach ($server in $servers) {
Get-WinEvent -ComputerName $server -MaxEvents 5 -FilterHashtable @{
LogName = 'System'; ID= 1234
} | Select-Object -Property ID, MachineName
}

Здесь есть другой пример для поиска событий блокировки учетной записи пользователя на всех контроллерах домена:

$Username = 'a.ivanov'
Get-ADDomainController -fi * | select -exp hostname | % {
$GweParams = @{
‘Computername’ = $_
‘LogName’ = ‘Security’
‘FilterXPath’ = "*[System[EventID=4740] and EventData[Data[@Name='TargetUserName']='$Username']]"
}
$Events = Get-WinEvent @GweParams
$Events | foreach {$_.Computer + " " +$_.Properties[1].value + ' ' + $_.TimeCreated}
}