IBCOURSES / СПРАВОЧНИК ИБ

Intune auditEvent — изменения управления устройствами

Аудит Intune описывает административную активность и затронутые ресурсы. Actor, результат операции и изменённые свойства помогают исследовать изменение управления парком.

Например

Материалов с пояснениями: 94 · Записей реестров: 11 678

Уточнить поиск

События и журналы

Найдено: 84

Инструкция по проверке

Windows Security 4625 — неудачная попытка входа

Зарегистрирована неудачная попытка входа. Причину уточняют по кодам результата, типу входа и контексту запроса.

Security · Security-Auditing

Инструкция по проверке

Linux Audit USER_AUTH — попытка аутентификации

Приложение сообщило о попытке аутентификации. Это тип записи Linux Audit, а не универсальный Event ID Linux.

Linux Audit · userspace

Инструкция по проверке

Кто создал учётную запись

Сначала выберите хранилище учётной записи. Затем найдите операцию и разделите технического инициатора, созданный объект и человека.

Windows / AD / Linux / IdP

Обзор источника

Альт: источники аудита и поиск событий

Альт — семейство российских ОС на базе Linux. Здесь — паспорт чтения аудита: настройки, журналы и поиск USER_AUTH.

Альт Рабочая станция 11.1

Инструкция по проверке

UserGate: где искать подключения по VPN

Найдите сессию или отказ в журнале шлюза. Отличайте подключение, разрыв, ошибку и изменение правила.

UserGate NGFW 7.5 · VPN

Инструкция по проверке

Kubernetes: кто отправил запрос на создание Pod

API audit помогает установить инициатора запроса. Для вывода о создании нужны объект, стадия и результат.

API Audit · audit.k8s.io/v1

Инструкция по проверке

Windows Security 4720 — создана учётная запись

Создан новый пользовательский объект. Субъект запроса и новая учётная запись указаны в разных полях; локальную и доменную область определяют по роли узла и TargetDomainName.

Схема события 0

Инструкция по проверке

Windows Security 4732 — участник добавлен в локальную группу безопасности

В локальную группу безопасности добавлен участник. Для каждого участника формируется отдельная запись; название группы само по себе не показывает её эффективные полномочия.

Схема события 0

Инструкция по проверке

Windows Security 5136 — изменён атрибут объекта AD

Изменён атрибут объекта Active Directory. Обычно удаление прежнего и добавление нового значения отражаются отдельными 5136; их нужно сопоставлять, сохраняя тип операции.

Схема события 0

Инструкция по проверке

Windows Security 4624 — создан успешный сеанс входа

На целевом компьютере создан сеанс входа. Subject относится к сообщившему/служебному контексту, Target — к новому сеансу; дальнейшие действия подтверждаются отдельно.

Схема события 2

Инструкция по проверке

Windows Security 4688 — создан новый процесс

Зарегистрирован запуск процесса. Командная строка требует отдельной настройки аудита; версия события влияет на поля инициатора, целевой учётной записи и родительского процесса.

Схема события 2

Инструкция по проверке

Windows Security 4698 — создано задание планировщика

Создано задание планировщика. Событие показывает факт создания и содержимое задания, но выполнение и его результат требуют отдельных свидетельств.

Схемы события 0 / 1

Инструкция по проверке

Windows Security 4663 — использовано право доступа к объекту

Зафиксировано использование конкретного права над объектом. В отличие от запроса handle это свидетельство применения права; вид операции определяется AccessMask и типом объекта.

Схема события 1

Инструкция по проверке

Windows Security 4657 — изменено значение реестра

Изменено значение реестра. Имя ключа и имя значения различаются; событие не является универсальной записью любого изменения ключа.

Схема события 0

Инструкция по проверке

Windows Eventlog 1102 — очищен журнал Security

Очищен журнал Security. Поставщик этого события — Microsoft-Windows-Eventlog; субъект находится в UserData/LogFileCleared, а не в обычном EventData.

Схема события 0

Инструкция по проверке

Sysmon Event 1 — создание процесса

Sysmon регистрирует расширенный контекст создания процесса. GUID процесса помогает связям, командная строка — интерпретации; версия и конфигурация Sysmon определяют доступную телеметрию.

Sysmon 15.22

Инструкция по проверке

PowerShell 7: 4104 — Script Block Logging

При включённом Script Block Logging PowerShell пишет содержимое обрабатываемых script blocks. Для PowerShell 7 используется PowerShellCore/Operational; Windows PowerShell 5.1 рассматривается отдельно.

PowerShell 7.5 · схема события 1

Обзор источника

systemd journal — поиск по службе, процессу и загрузке

Journal хранит сообщения и структурированные поля. Пользовательские поля отличаются от добавленных journald; доступность и хранение определяются конкретной системой.

systemd 262

Инструкция по проверке

Linux Audit EXECVE — аргументы запуска программы

Соберите SYSCALL, EXECVE и соседние записи одного события. Аргументы, контекст входа и результат exec — разные сведения; одной строки EXECVE недостаточно.

Linux Audit · Linux 6.12 / x86-64

Инструкция по проверке

Keycloak: как разобрать LOGIN и LOGIN_ERROR в нужном realm

Сначала проверьте сохранение событий в нужном realm. LOGIN/LOGIN_ERROR описывают этап входа в IdP; ответ API, серверный обработчик событий (event listener) и административный аудит — разные источники.

Документация latest

Инструкция по проверке

Keycloak — аудит административных изменений

Административный аудит описывает REST-операции управления realm. Он включается отдельно от пользовательских событий; representation зависит от настройки.

Документация latest

Инструкция по проверке

Vault audit — запрос и ответ на доступ к секрету

Записи аудита описывают API-запросы и ответы Vault. Их связывают по request.id; значения чувствительных полей могут быть преобразованы аудитом.

Онлайн-документация продукта

Обзор источника

sudo — кто запросил выполнение от другого пользователя

Журнал sudo различает пользователя, вызвавшего sudo, и пользователя предполагаемого запуска команды (runas). Сообщение о принятой команде само по себе не содержит полного результата её работы.

sudo · журнал событий

Инструкция по проверке

Intune auditEvent — изменения управления устройствами

Microsoft Graph v1.0

Обзор источника

Astra Linux — карта системных журналов и аудита

В документации разделены системная регистрация и аудит безопасности auditd/PARSEC. Для рабочего поиска нужен паспорт установленной редакции, профиля и фактической конфигурации.

Документация latest

Инструкция по проверке

Keycloak / OIDC: на каком этапе отказал вход

Отделите проверку URI перенаправления, аутентификацию клиента и выдачу или обновление токена. Одинаковое сообщение приложения не устанавливает этап отказа или ошибку пароля пользователя.

Keycloak 26.8.1

Инструкция по проверке

Keycloak / SAML: отказ при ответе внешнего IdP

Для Keycloak как брокера внешнего SAML IdP различайте ошибки разбора ответа, проверки назначения (Destination), подписи и условий утверждения (assertion). Общее сообщение об ошибке не определяет единственную причину.

Keycloak 26.8.1

Инструкция по проверке

Windows Security 4768 — запрос TGT в Kerberos

4768 показывает выдачу TGT или часть отказов на DC. Для причин сначала прочитайте Status и версию XML; успех выдачи TGT не подтверждает вход в приложение.

XML · схемы события 0 / 2

Инструкция по проверке

Windows Security 4769 — запрос билета службы Kerberos

4769 описывает запрос TGS на DC. Status показывает результат выдачи билета; отдельные данные приложения нужны, чтобы установить фактический доступ.

XML · схемы события 0 / 2

Инструкция по проверке

Windows Security 4771 — отказ предварительной аутентификации Kerberos

4771 фиксирует отказ предварительной аутентификации на DC. Status 0x18 указывает на непрошедшую проверку данных, но одна запись не устанавливает подбор пароля или человека.

XML · схема события 0

Инструкция по проверке

Intune auditEvent — изменения управления устройствами

Условия Intune-аудита

Установите tenant, облако, UTC-период и конкретную административную активность. Graph API Intune требует действующую лицензию и разрешение чтения; наличие другого Graph-аудита не означает доступ к deviceManagement/auditEvents. Используется Microsoft Graph v1.0. Нужен исходный auditEvent, а не только уведомление о политике.

Чтение и охват

Пример HTTP GET показывает endpoint без выполнения и передачи токена. Альтернативный jq работает с уже полученной страницей коллекции в.value. Уточните сохранённый период и полноту страниц, включая nextLink, если он возвращён. Не считайте одну страницу всей историей. Ошибки лицензии, доступа или запроса отделяются от успешного ответа с пустой коллекцией. Конкретные фильтры API нужно сверять, не переносить произвольный синтаксис другой Graph-коллекции.

Разбор события-примера

Actor содержит связанные приложение и пользователя, resources — изменяемые объекты. В учебной структуре ExampleSetting и IDs вымышлены; это не название настоящей Intune-настройки. ModifiedProperties показывает доступные старые/новые значения конкретного ресурса. ActivityResult в иллюстрации опущен, поэтому успех не заявляется. Нельзя подставить ID ресурса в actor.userId или считать applicationId доказанным человеком-инициатором.

Интерпретация результата

Проверьте activityDateTime, activityResult, тип активности и каждый ресурс в полной записи. CorrelationId помогает связи, но не заменяет проверку tenant, времени и объекта. Аудит изменения настройки управления не доказывает её доставку и применение на каждом устройстве. Отсутствие modifiedProperties в конкретном экспорте не разрешает восстановить прежнее значение из текущего состояния политики. Зафиксируйте, какой этап подтверждён исходным событием.

Следующий шаг

Сверьте actor с доступным административным сеансом или журналом автоматизации, а ресурс — с согласованной задачей. Для вопроса о применении политики нужны отдельные сведения управления устройством. Текущее состояние может включать последующие изменения; оно служит дополнительным контекстом, а не исторической заменой. Итог разделяет изменение в системе управления, технического инициатора, подтверждённое действие и неизвестное состояние конечных устройств.

Если данных нет

Проверьте tenant/облако, лицензию, доступ, период и страницы. Уточните, относится ли зацепка к Intune, а не к другому Microsoft-сервису. Затем исследуйте срок хранения и полноту выгрузки. Не расширяйте права ради этой карточки: отсутствие разрешения — отдельное ограничение, которое передаётся владельцу. Сохраняйте ответ и параметры запроса, не объявляя пустую коллекцию доказательством отсутствия изменения.

Поля и область применения

Исходное поле	Смысл и ограничения
`actor`	Связанные пользователь и приложение.
`activityDateTime`	Время активности.
`activityResult`	Результат административной активности.
`correlationId`	Client request ID для связи.
`resources`	Ресурсы изменения.
`resources[].modifiedProperties`	Старые и новые значения при наличии.

Примеры записей

Данные в примерах условные. Состав полей зависит от версии и настроек источника.

Пример фрагмента Graph auditEvent

Фрагмент журнала. Документированные имена Graph-полей, вымышленные IDs и ExampleSetting. activityResult намеренно не заполнен: пример не утверждает конкретный enum или успех операции.

{
  "@odata.type": "#microsoft.graph.auditEvent",
  "id": "audit-demo",
  "activityDateTime": "2026-11-04T09:00:00Z",
  "correlationId": "00000000-0000-0000-0000-000000000005",
  "resources": [
    {
      "resourceId": "policy-demo",
      "modifiedProperties": [
        {
          "displayName": "ExampleSetting",
          "oldValue": "A",
          "newValue": "B"
        }
      ]
    }
  ],
  "actor": {
    "applicationId": "11111111-1111-4111-8111-111111111111",
    "userId": "22222222-2222-4222-8222-222222222222"
  }
}

Команды и способы проверки

Укажите свой узел, путь к журналу и временной интервал. Требуемая среда указана рядом с командой.

Microsoft Graph v1.0, пример HTTP GET без подключения или передачи учётных данных

GET https://graph.microsoft.com/v1.0/deviceManagement/auditEvents

jq, чтение уже выгруженной страницы JSON Microsoft Graph

jq -c '.value[] | select(.id == "audit-demo") | {id, actor, activityDateTime, activityResult, correlationId, resources}' intune-audit-page.json

Первоисточники

Управляющая операция не доказывает применение настройки на каждом устройстве.

Как пользоваться техническим справочником

Найдите порт, код ошибки, событие или источник журнала. Уточните протокол и систему, затем сверяйте значение, поля, примеры и первоисточники. Назначение порта не определяет фактическую службу, а одна запись не доказывает инцидент.

Словарь терминов ИБ →Атлас компетенций ИБ →Обучение для SOC-аналитиков →

Intune auditEvent — изменения управления устройствами

Уточнить поиск

События и журналы

Intune auditEvent — изменения управления устройствами

Условия Intune-аудита

Чтение и охват

Разбор события-примера

Интерпретация результата

Следующий шаг

Если данных нет

Поля и область применения

Примеры записей

Пример фрагмента Graph auditEvent

Команды и способы проверки

Microsoft Graph v1.0, пример HTTP GET без подключения или передачи учётных данных

jq, чтение уже выгруженной страницы JSON Microsoft Graph

Первоисточники

Как пользоваться техническим справочником

Порты и службы

Коды и ошибки

События и журналы

Сравнение источников

Выберите службу

Как искать в справочнике

Что есть в справочнике

Уточнить или исправить ответ