IBCOURSES / СПРАВОЧНИК ИБ

PowerShell 7: 4104 — Script Block Logging

При включённом Script Block Logging PowerShell пишет содержимое обрабатываемых script blocks. Для PowerShell 7 используется PowerShellCore/Operational; Windows PowerShell 5.1 рассматривается отдельно.

Например

Материалов с пояснениями: 94 · Записей реестров: 11 678

Уточнить поиск

События и журналы

Найдено: 84

Инструкция по проверке

Windows Security 4625 — неудачная попытка входа

Зарегистрирована неудачная попытка входа. Причину уточняют по кодам результата, типу входа и контексту запроса.

Security · Security-Auditing

Инструкция по проверке

Linux Audit USER_AUTH — попытка аутентификации

Приложение сообщило о попытке аутентификации. Это тип записи Linux Audit, а не универсальный Event ID Linux.

Linux Audit · userspace

Инструкция по проверке

Кто создал учётную запись

Сначала выберите хранилище учётной записи. Затем найдите операцию и разделите технического инициатора, созданный объект и человека.

Windows / AD / Linux / IdP

Обзор источника

Альт: источники аудита и поиск событий

Альт — семейство российских ОС на базе Linux. Здесь — паспорт чтения аудита: настройки, журналы и поиск USER_AUTH.

Альт Рабочая станция 11.1

Инструкция по проверке

UserGate: где искать подключения по VPN

Найдите сессию или отказ в журнале шлюза. Отличайте подключение, разрыв, ошибку и изменение правила.

UserGate NGFW 7.5 · VPN

Инструкция по проверке

Kubernetes: кто отправил запрос на создание Pod

API audit помогает установить инициатора запроса. Для вывода о создании нужны объект, стадия и результат.

API Audit · audit.k8s.io/v1

Инструкция по проверке

Windows Security 4720 — создана учётная запись

Создан новый пользовательский объект. Субъект запроса и новая учётная запись указаны в разных полях; локальную и доменную область определяют по роли узла и TargetDomainName.

Схема события 0

Инструкция по проверке

Windows Security 4732 — участник добавлен в локальную группу безопасности

В локальную группу безопасности добавлен участник. Для каждого участника формируется отдельная запись; название группы само по себе не показывает её эффективные полномочия.

Схема события 0

Инструкция по проверке

Windows Security 5136 — изменён атрибут объекта AD

Изменён атрибут объекта Active Directory. Обычно удаление прежнего и добавление нового значения отражаются отдельными 5136; их нужно сопоставлять, сохраняя тип операции.

Схема события 0

Инструкция по проверке

Windows Security 4624 — создан успешный сеанс входа

На целевом компьютере создан сеанс входа. Subject относится к сообщившему/служебному контексту, Target — к новому сеансу; дальнейшие действия подтверждаются отдельно.

Схема события 2

Инструкция по проверке

Windows Security 4688 — создан новый процесс

Зарегистрирован запуск процесса. Командная строка требует отдельной настройки аудита; версия события влияет на поля инициатора, целевой учётной записи и родительского процесса.

Схема события 2

Инструкция по проверке

Windows Security 4698 — создано задание планировщика

Создано задание планировщика. Событие показывает факт создания и содержимое задания, но выполнение и его результат требуют отдельных свидетельств.

Схемы события 0 / 1

Инструкция по проверке

Windows Security 4663 — использовано право доступа к объекту

Зафиксировано использование конкретного права над объектом. В отличие от запроса handle это свидетельство применения права; вид операции определяется AccessMask и типом объекта.

Схема события 1

Инструкция по проверке

Windows Security 4657 — изменено значение реестра

Изменено значение реестра. Имя ключа и имя значения различаются; событие не является универсальной записью любого изменения ключа.

Схема события 0

Инструкция по проверке

Windows Eventlog 1102 — очищен журнал Security

Очищен журнал Security. Поставщик этого события — Microsoft-Windows-Eventlog; субъект находится в UserData/LogFileCleared, а не в обычном EventData.

Схема события 0

Инструкция по проверке

Sysmon Event 1 — создание процесса

Sysmon регистрирует расширенный контекст создания процесса. GUID процесса помогает связям, командная строка — интерпретации; версия и конфигурация Sysmon определяют доступную телеметрию.

Sysmon 15.22

Инструкция по проверке

PowerShell 7: 4104 — Script Block Logging

PowerShell 7.5 · схема события 1

Обзор источника

systemd journal — поиск по службе, процессу и загрузке

Journal хранит сообщения и структурированные поля. Пользовательские поля отличаются от добавленных journald; доступность и хранение определяются конкретной системой.

systemd 262

Инструкция по проверке

Linux Audit EXECVE — аргументы запуска программы

Соберите SYSCALL, EXECVE и соседние записи одного события. Аргументы, контекст входа и результат exec — разные сведения; одной строки EXECVE недостаточно.

Linux Audit · Linux 6.12 / x86-64

Инструкция по проверке

Keycloak: как разобрать LOGIN и LOGIN_ERROR в нужном realm

Сначала проверьте сохранение событий в нужном realm. LOGIN/LOGIN_ERROR описывают этап входа в IdP; ответ API, серверный обработчик событий (event listener) и административный аудит — разные источники.

Документация latest

Инструкция по проверке

Keycloak — аудит административных изменений

Административный аудит описывает REST-операции управления realm. Он включается отдельно от пользовательских событий; representation зависит от настройки.

Документация latest

Инструкция по проверке

Vault audit — запрос и ответ на доступ к секрету

Записи аудита описывают API-запросы и ответы Vault. Их связывают по request.id; значения чувствительных полей могут быть преобразованы аудитом.

Онлайн-документация продукта

Обзор источника

sudo — кто запросил выполнение от другого пользователя

Журнал sudo различает пользователя, вызвавшего sudo, и пользователя предполагаемого запуска команды (runas). Сообщение о принятой команде само по себе не содержит полного результата её работы.

sudo · журнал событий

Инструкция по проверке

Intune auditEvent — изменения управления устройствами

Аудит Intune описывает административную активность и затронутые ресурсы. Actor, результат операции и изменённые свойства помогают исследовать изменение управления парком.

Microsoft Graph v1.0

Обзор источника

Astra Linux — карта системных журналов и аудита

В документации разделены системная регистрация и аудит безопасности auditd/PARSEC. Для рабочего поиска нужен паспорт установленной редакции, профиля и фактической конфигурации.

Документация latest

Инструкция по проверке

Keycloak / OIDC: на каком этапе отказал вход

Отделите проверку URI перенаправления, аутентификацию клиента и выдачу или обновление токена. Одинаковое сообщение приложения не устанавливает этап отказа или ошибку пароля пользователя.

Keycloak 26.8.1

Инструкция по проверке

Keycloak / SAML: отказ при ответе внешнего IdP

Для Keycloak как брокера внешнего SAML IdP различайте ошибки разбора ответа, проверки назначения (Destination), подписи и условий утверждения (assertion). Общее сообщение об ошибке не определяет единственную причину.

Keycloak 26.8.1

Инструкция по проверке

Windows Security 4768 — запрос TGT в Kerberos

4768 показывает выдачу TGT или часть отказов на DC. Для причин сначала прочитайте Status и версию XML; успех выдачи TGT не подтверждает вход в приложение.

XML · схемы события 0 / 2

Инструкция по проверке

Windows Security 4769 — запрос билета службы Kerberos

4769 описывает запрос TGS на DC. Status показывает результат выдачи билета; отдельные данные приложения нужны, чтобы установить фактический доступ.

XML · схемы события 0 / 2

Инструкция по проверке

Windows Security 4771 — отказ предварительной аутентификации Kerberos

4771 фиксирует отказ предварительной аутентификации на DC. Status 0x18 указывает на непрошедшую проверку данных, но одна запись не устанавливает подбор пароля или человека.

XML · схема события 0

Инструкция по проверке

PowerShell 7: 4104 — Script Block Logging

Условия и ветка PowerShell

Карточка относится к PowerShell 7 и PowerShellCore/Operational, а не к Windows PowerShell 5.1. Нужны зарегистрированный provider и действовавшее Script Block Logging. Официальный manifest тега v7.5.0 подтверждает Provider PowerShellCore, Event 4104 версии 1 и имена полей. Регистрация manifest и включение журналирования изменяют систему и не включены в читающие примеры.

Отбор без локализованного Message

Запрос использует PowerShellCore, точный канал, 4104 и UTC-окно. EventData извлекается по Name. Сохраняйте MessageNumber, MessageTotal, ScriptBlockId, ScriptBlockText и Path, когда они доступны. Если текст разбит на части, проверяйте полноту и порядок до интерпретации. Не объединяйте части разных блоков по одному времени; namespace и точный источник остаются частью ключа.

Пример записи

В примере один блок Get-Date: MessageNumber=1 и MessageTotal=1, Path пуст. Пример содержит условные значения полей из манифеста. ScriptBlockText показывает обработанное содержимое, но не результат каждого оператора. Пустой Path не позволяет восстановить путь файла по догадке. ScriptBlockId — идентификатор блока, не готовый идентификатор человека или входа.

Что можно заключить

Наличие текста полезно для анализа намерения команд, но не доказывает, что все ветки выполнились и нужный результат получен. Разделяйте содержимое, факт обработки, вызов и прикладное последствие. При передаче из сборщика проверьте, не урезан ли текст и не потеряны ли номера частей. Отображение одного фрагмента как целого скрипта способно изменить смысл проверки.

Следующий шаг

Сопоставьте период и узел с процессной телеметрией PowerShell, сеансами и журналом приложения. Технический процесс или служебная identity не устанавливают оператора без отдельной связи. Для вывода о результате найдите независимое свидетельство изменения или обращения. Сохраните исходные части и параметры отбора, а подтверждённые и предполагаемые звенья цепочки пометьте отдельно.

Если запись не найдена

Проверьте ветку PowerShell и канал, время, регистрацию provider, действовавшие настройки и сохранность Operational. Пример 5.1 с другим provider не подменяет отсутствие 7. Частичная доставка может оставить блок неполным. Включение Script Block Logging сейчас не создаст исторических записей. Зафиксируйте, отсутствует ли весь источник, нужный ID или только часть блока, и запросите соответствующие данные.

Поля и область применения

Исходное поле	Смысл и ограничения
`System/Provider / Channel`	PowerShellCore и PowerShellCore/Operational; не журнал Windows PowerShell5.1.
`MessageNumber / MessageTotal`	Номер и количество частей по manifest; проверить полноту до сборки текста.
`ScriptBlockId`	Идентификатор script block, не готовый идентификатор человека.
`ScriptBlockText`	Содержимое обрабатываемого блока; не доказательство успешности всех его действий.
`Path`	Доступный путь скрипта; при отсутствии не достраивать из командной строки.
`ETW provider GUID`	{f90714a8-5509-434a-bf6d-b1624c8a19a2}, сверено по manifest.

Примеры записей

Данные в примерах условные. Состав полей зависит от версии и настроек источника.

PowerShellCore 4104 v1: один script block

Фрагмент журнала. Сокращённый XML-пример по официальному manifest PowerShellv7.5.0. Пустой Path показывает отсутствие пути в событии. Это не событие Windows PowerShell5.1.

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System><Provider Name="PowerShellCore"/><EventID>4104</EventID><Version>1</Version><TimeCreated SystemTime="2026-11-03T09:30:00.000Z"/><EventRecordID>4101</EventRecordID><Channel>PowerShellCore/Operational</Channel><Computer>win-lab-01.example.test</Computer></System>
  <EventData>
    <Data Name="MessageNumber">1</Data>
    <Data Name="MessageTotal">1</Data>
    <Data Name="ScriptBlockText">Get-Date</Data>
    <Data Name="ScriptBlockId">11111111-1111-4111-8111-111111111111</Data>
    <Data Name="Path"></Data>
  </EventData>
</Event>

Команды и способы проверки

Укажите свой узел, путь к журналу и временной интервал. Требуемая среда указана рядом с командой.

PowerShell: только чтение локального журнала. Заменить учебное UTC-окно и выбрать нужный узел.

$referenceStartUtc = [DateTimeOffset]::Parse('2026-11-03T09:00:00Z').UtcDateTime
$referenceEndUtc = [DateTimeOffset]::Parse('2026-11-03T11:00:00Z').UtcDateTime
Get-WinEvent -FilterHashtable @{LogName='PowerShellCore/Operational'; ProviderName='PowerShellCore'; Id=4104; StartTime=$referenceStartUtc; EndTime=$referenceEndUtc} |
ForEach-Object {
  $referenceEvent = $_
  [xml]$referenceXml = $referenceEvent.ToXml()
  $referenceNs = [System.Xml.XmlNamespaceManager]::new($referenceXml.NameTable)
  $referenceNs.AddNamespace('e','http://schemas.microsoft.com/win/2004/08/events/event')
  $referenceData = @{}
  foreach ($referenceNode in $referenceXml.SelectNodes('/e:Event/e:EventData/e:Data',$referenceNs)) {
    $referenceData[$referenceNode.GetAttribute('Name')] = $referenceNode.InnerText
  }
  [pscustomobject]@{
    TimeCreatedUtc=$referenceEvent.TimeCreated.ToUniversalTime().ToString('o')
    Computer=$referenceEvent.MachineName
    Provider=$referenceEvent.ProviderName
    EventId=$referenceEvent.Id
    RecordId=$referenceEvent.RecordId
    Data=[pscustomobject]$referenceData
  }
}

Первоисточники

Запись script block не доказывает успешного завершения всех операций внутри скрипта.

Связанные материалы

Windows Security 4688 — создан новый процесс
На Windows при настроенном аудите проверить процесс pwsh и его сеанс. ScriptBlockLogging сам по себе не доказывает результат исполнения.

Как пользоваться техническим справочником

Найдите порт, код ошибки, событие или источник журнала. Уточните протокол и систему, затем сверяйте значение, поля, примеры и первоисточники. Назначение порта не определяет фактическую службу, а одна запись не доказывает инцидент.

Словарь терминов ИБ →Атлас компетенций ИБ →Обучение для SOC-аналитиков →

PowerShell 7: 4104 — Script Block Logging

Уточнить поиск

События и журналы

PowerShell 7: 4104 — Script Block Logging

Условия и ветка PowerShell

Отбор без локализованного Message

Пример записи

Что можно заключить

Следующий шаг

Если запись не найдена

Поля и область применения

Примеры записей

PowerShellCore 4104 v1: один script block

Команды и способы проверки

PowerShell: только чтение локального журнала. Заменить учебное UTC-окно и выбрать нужный узел.

Первоисточники

Связанные материалы

Как пользоваться техническим справочником

Порты и службы

Коды и ошибки

События и журналы

Сравнение источников

Выберите службу

Как искать в справочнике

Что есть в справочнике

Уточнить или исправить ответ