IBCOURSES / СПРАВОЧНИК ИБ

Антивирус / Microsoft Defender 1116: обнаружена угроза

К ответу ↓

1116 означает обнаружение вредоносного или потенциально нежелательного объекта. Результат обработки нужно искать отдельно; обнаружение не равно успешному устранению.

Например
Материалов с пояснениями: 94 · Записей реестров: 11 678

Уточнить поиск

События и журналы

Найдено: 84
Инструкция по проверке
Антивирус / Microsoft Defender 1116: обнаружена угроза

1116 означает обнаружение вредоносного или потенциально нежелательного объекта. Результат обработки нужно искать отдельно; обнаружение не равно успешному устранению.

Microsoft Defender Antivirus · Operational · 1116
Инструкция по проверке
Windows Security 4625 — неудачная попытка входа

Зарегистрирована неудачная попытка входа. Причину уточняют по кодам результата, типу входа и контексту запроса.

Security · Security-Auditing
Инструкция по проверке
Linux Audit USER_AUTH — попытка аутентификации

Приложение сообщило о попытке аутентификации. Это тип записи Linux Audit, а не универсальный Event ID Linux.

Linux Audit · userspace
Инструкция по проверке
Кто создал учётную запись

Сначала выберите хранилище учётной записи. Затем найдите операцию и разделите технического инициатора, созданный объект и человека.

Windows / AD / Linux / IdP
Обзор источника
Альт: источники аудита и поиск событий

Альт — семейство российских ОС на базе Linux. Здесь — паспорт чтения аудита: настройки, журналы и поиск USER_AUTH.

Альт Рабочая станция 11.1
Инструкция по проверке
UserGate: где искать подключения по VPN

Найдите сессию или отказ в журнале шлюза. Отличайте подключение, разрыв, ошибку и изменение правила.

UserGate NGFW 7.5 · VPN
Инструкция по проверке
Kubernetes: кто отправил запрос на создание Pod

API audit помогает установить инициатора запроса. Для вывода о создании нужны объект, стадия и результат.

API Audit · audit.k8s.io/v1
Инструкция по проверке
Windows Security 4720 — создана учётная запись

Создан новый пользовательский объект. Субъект запроса и новая учётная запись указаны в разных полях; локальную и доменную область определяют по роли узла и TargetDomainName.

Схема события 0
Инструкция по проверке
Windows Security 4732 — участник добавлен в локальную группу безопасности

В локальную группу безопасности добавлен участник. Для каждого участника формируется отдельная запись; название группы само по себе не показывает её эффективные полномочия.

Схема события 0
Инструкция по проверке
Windows Security 5136 — изменён атрибут объекта AD

Изменён атрибут объекта Active Directory. Обычно удаление прежнего и добавление нового значения отражаются отдельными 5136; их нужно сопоставлять, сохраняя тип операции.

Схема события 0
Инструкция по проверке
Windows Security 4624 — создан успешный сеанс входа

На целевом компьютере создан сеанс входа. Subject относится к сообщившему/служебному контексту, Target — к новому сеансу; дальнейшие действия подтверждаются отдельно.

Схема события 2
Инструкция по проверке
Windows Security 4688 — создан новый процесс

Зарегистрирован запуск процесса. Командная строка требует отдельной настройки аудита; версия события влияет на поля инициатора, целевой учётной записи и родительского процесса.

Схема события 2
Инструкция по проверке
Windows Security 4698 — создано задание планировщика

Создано задание планировщика. Событие показывает факт создания и содержимое задания, но выполнение и его результат требуют отдельных свидетельств.

Схемы события 0 / 1
Инструкция по проверке
Windows Security 4663 — использовано право доступа к объекту

Зафиксировано использование конкретного права над объектом. В отличие от запроса handle это свидетельство применения права; вид операции определяется AccessMask и типом объекта.

Схема события 1
Инструкция по проверке
Windows Security 4657 — изменено значение реестра

Изменено значение реестра. Имя ключа и имя значения различаются; событие не является универсальной записью любого изменения ключа.

Схема события 0
Инструкция по проверке
Windows Eventlog 1102 — очищен журнал Security

Очищен журнал Security. Поставщик этого события — Microsoft-Windows-Eventlog; субъект находится в UserData/LogFileCleared, а не в обычном EventData.

Схема события 0
Инструкция по проверке
Sysmon Event 1 — создание процесса

Sysmon регистрирует расширенный контекст создания процесса. GUID процесса помогает связям, командная строка — интерпретации; версия и конфигурация Sysmon определяют доступную телеметрию.

Sysmon 15.22
Инструкция по проверке
PowerShell 7: 4104 — Script Block Logging

При включённом Script Block Logging PowerShell пишет содержимое обрабатываемых script blocks. Для PowerShell 7 используется PowerShellCore/Operational; Windows PowerShell 5.1 рассматривается отдельно.

PowerShell 7.5 · схема события 1
Обзор источника
systemd journal — поиск по службе, процессу и загрузке

Journal хранит сообщения и структурированные поля. Пользовательские поля отличаются от добавленных journald; доступность и хранение определяются конкретной системой.

systemd 262
Инструкция по проверке
Linux Audit EXECVE — аргументы запуска программы

Соберите SYSCALL, EXECVE и соседние записи одного события. Аргументы, контекст входа и результат exec — разные сведения; одной строки EXECVE недостаточно.

Linux Audit · Linux 6.12 / x86-64
Инструкция по проверке
Keycloak: как разобрать LOGIN и LOGIN_ERROR в нужном realm

Сначала проверьте сохранение событий в нужном realm. LOGIN/LOGIN_ERROR описывают этап входа в IdP; ответ API, серверный обработчик событий (event listener) и административный аудит — разные источники.

Документация latest
Инструкция по проверке
Keycloak — аудит административных изменений

Административный аудит описывает REST-операции управления realm. Он включается отдельно от пользовательских событий; representation зависит от настройки.

Документация latest
Инструкция по проверке
Vault audit — запрос и ответ на доступ к секрету

Записи аудита описывают API-запросы и ответы Vault. Их связывают по request.id; значения чувствительных полей могут быть преобразованы аудитом.

Онлайн-документация продукта
Обзор источника
sudo — кто запросил выполнение от другого пользователя

Журнал sudo различает пользователя, вызвавшего sudo, и пользователя предполагаемого запуска команды (runas). Сообщение о принятой команде само по себе не содержит полного результата её работы.

sudo · журнал событий
Инструкция по проверке
Intune auditEvent — изменения управления устройствами

Аудит Intune описывает административную активность и затронутые ресурсы. Actor, результат операции и изменённые свойства помогают исследовать изменение управления парком.

Microsoft Graph v1.0
Обзор источника
Astra Linux — карта системных журналов и аудита

В документации разделены системная регистрация и аудит безопасности auditd/PARSEC. Для рабочего поиска нужен паспорт установленной редакции, профиля и фактической конфигурации.

Документация latest
Инструкция по проверке
Keycloak / OIDC: на каком этапе отказал вход

Отделите проверку URI перенаправления, аутентификацию клиента и выдачу или обновление токена. Одинаковое сообщение приложения не устанавливает этап отказа или ошибку пароля пользователя.

Keycloak 26.8.1
Инструкция по проверке
Keycloak / SAML: отказ при ответе внешнего IdP

Для Keycloak как брокера внешнего SAML IdP различайте ошибки разбора ответа, проверки назначения (Destination), подписи и условий утверждения (assertion). Общее сообщение об ошибке не определяет единственную причину.

Keycloak 26.8.1
Инструкция по проверке
Windows Security 4768 — запрос TGT в Kerberos

4768 показывает выдачу TGT или часть отказов на DC. Для причин сначала прочитайте Status и версию XML; успех выдачи TGT не подтверждает вход в приложение.

XML · схемы события 0 / 2
Инструкция по проверке
Windows Security 4769 — запрос билета службы Kerberos

4769 описывает запрос TGS на DC. Status показывает результат выдачи билета; отдельные данные приложения нужны, чтобы установить фактический доступ.

XML · схемы события 0 / 2
Инструкция по проверке

Антивирус / Microsoft Defender 1116: обнаружена угроза

1116 означает обнаружение вредоносного или потенциально нежелательного объекта. Результат обработки нужно искать отдельно; обнаружение не равно успешному устранению.

Условия и сохранение исходных данных

Определите узел, период и то, как обнаружение попало к аналитику: локальный журнал, сборщик или уведомление. Сохраните исходную запись с поставщиком, каналом, номером записи и временем. Если доступна только пересказанная тревога, запросите экспорт события, а не пытайтесь восстановить все поля из названия алерта. Зафиксируйте версии ОС, платформы и движка, которые фактически установлены. Эта карточка сверена с документацией и не является подтверждением работы выбранной сборки. Номер 1116 рассматривается только в контексте Microsoft Defender Antivirus.

Как получить выборку

Пример чтения использует Get-WinEvent и фильтр Operational-журнала по событию 1116 и заданному периоду. UTC-границы учебные; замените их после согласования времени исходной зацепки. Вывод оставляет исходный Message и ключевые свойства, а дополнительное TimeCreatedUtc вычисляется только для удобства сопоставления. Это имя столбца нашей проекции, не нативное поле события. Для работы с полученным EVTX используйте вариант чтения файла с проверкой его канала и источника. Ошибку доступа и отсутствие совпадений фиксируйте раздельно.

Что показывает иллюстрация

В примере продукт сообщил об учебной угрозе DemoThreat-A в ресурсе demo.bin. Имя угрозы и число 900001 вымышлены и не предназначены для поиска по реальным базам. Сокращённое Message оставляет только иллюстрируемые смысловые части. Названия в отображаемом тексте могут локализоваться; нельзя переносить их как XPath-поля в EventData без просмотра XML конкретного события. Путь ресурса, имя процесса и учётная запись относятся к разным аспектам контекста. Не называйте пользователя владельцем файла или инициатором всех действий только по соседству в сообщении.

Интерпретация и проверка гипотезы

Узкий вывод — защита зарегистрировала обнаружение определённого объекта. Сначала уточните, что именно являлось ресурсом: файл, вложение, содержимое контейнера или другой объект, указанный в исходной записи. Затем сопоставьте момент с деятельностью процесса и действиями пользователя по независимым источникам. Уведомление антивируса не заменяет расследование запуска. Обычная административная операция, тестовый объект или спорное срабатывание требуют проверки контекста, но одна из этих версий не выбирается автоматически. Не открывайте и не запускайте подозрительный объект ради воспроизведения примера.

Следующий шаг

Найдите 1117 и сообщения о сбое обработки в подходящем окне на том же узле. Сопоставьте идентификатор и имя угрозы, ресурс, время и контекст: один путь может использоваться повторно, а несколько обнаружений не обязательно обозначают один объект. После этого сформулируйте статус: обнаружено, действие зарегистрировано, результат подтверждён либо пока неизвестен. Если нужно установить исполнение, перейдите к журналу процессов/EDR и используйте фактические идентификаторы вместо одного имени файла. Сохраняйте разные уровни подтверждения в заметке расследования.

Если записи нет

Проверьте канал, узел, локальное и UTC-время, права чтения, ротацию и доставку в сборщик. Убедитесь, что исходный алерт действительно относится к Defender Antivirus, а не к другому модулю защиты. Расширьте окно обоснованно и поищите соседние события продукта. Отсутствие 1116 в доступной копии не доказывает отсутствие обнаружения на узле. Для проверки состояния источника запросите сведения у владельца защиты; эта инструкция не предлагает отключать продукт, менять исключения или повторно обрабатывать объект.

Поля и область применения

Исходное полеСмысл и ограничения
Id / ProviderName / LogNameПолный контекст события в экспорте EventRecord; номер без поставщика и журнала неоднозначен.
RecordId / MachineName / TimeCreatedUtcНомер записи, узел и явно приведённое UTC-время. RecordId нельзя считать глобальным ключом.
Message: Name / ID / PathСмысловые данные угрозы и ресурса в отображаемом сообщении; это не имена XML EventData.
Message: Detection Source / User / Process NameИсточник обнаружения и контекст из сообщения, если эти сведения присутствуют.
Message: Signature Version / Engine VersionВерсии баз и движка на момент события; версия ОС фиксируется отдельно.

Примеры записей

Данные в примерах условные. Состав полей зависит от версии и настроек источника.

Синтетический экспорт свойств Get-WinEvent для 1116

Результат запроса. Сконструированный JSON выбранных свойств EventRecord. Message — учебный сокращённый фрагмент с вымышленной угрозой, не дословный шаблон Windows и не реальные базы обнаружений. XML EventData этим примером не описывается.

{
  "Id": 1116,
  "ProviderName": "Microsoft-Windows-Windows Defender",
  "LogName": "Microsoft-Windows-Windows Defender/Operational",
  "RecordId": 1084,
  "MachineName": "av-lab-01.example.test",
  "TimeCreatedUtc": "2026-11-03T09:20:00.0000000Z",
  "Message": "Name: DemoThreat-A\nID: 900001\nPath: file:_C:\\Lab\\demo.bin\nDetection Source: Real-time\nUser: LAB\\analyst.demo\n[Остальная часть сообщения опущена]"
}

Команды и способы проверки

Укажите свой узел, путь к журналу и временной интервал. Требуемая среда указана рядом с командой.

PowerShell / Get-WinEvent, чтение локального журнала; заменить UTC-период

Get-WinEvent -FilterHashtable @{
  LogName='Microsoft-Windows-Windows Defender/Operational'
  Id=1116
  StartTime=[DateTimeOffset]::Parse('2026-11-03T09:00:00Z').UtcDateTime
  EndTime=[DateTimeOffset]::Parse('2026-11-03T10:00:00Z').UtcDateTime
} | Select-Object Id, ProviderName, LogName, RecordId, MachineName,
  @{Name='TimeCreatedUtc';Expression={$_.TimeCreated.ToUniversalTime().ToString('o')}}, Message

Первоисточники

Классификация угрозы — результат продукта на тот момент. Одно 1116 не доказывает исполнение объекта, заражение или успешную очистку.

Связанные материалы

Как пользоваться техническим справочником

Найдите порт, код ошибки, событие или источник журнала. Уточните протокол и систему, затем сверяйте значение, поля, примеры и первоисточники. Назначение порта не определяет фактическую службу, а одна запись не доказывает инцидент.

Словарь терминов ИБ →Атлас компетенций ИБ →Обучение для SOC-аналитиков →
Материалы по разделам

Порты и службы

Коды и ошибки

События и журналы

Два ответа рядом

Сравнение источников

Сравнение показывает различия. События и поля разных систем не считаются эквивалентными.

Выберите службу

В списке — службы, доступные с текущими условиями. Число рядом — количество записей портов, а не программ на вашем узле.

Как искать в справочнике

Введите число, код, фрагмент сообщения или вопрос. Известный идентификатор поможет найти карточку; это не анализ самого инцидента.

  1. Введите номер, код, имя или фрагмент записи. Для портов можно использовать список: 80, 443, 8000–8010.
  2. Уточните поиск фильтрами. Все условия действуют одновременно. Числа в списках показывают, сколько материалов останется при выборе варианта.
  3. Службу выбирайте из каталога: поиск внутри списка помогает найти название, а кнопка «Выбрать» применяет его.
  4. Убирайте отдельные условия кнопкой × рядом с фильтром. «Сбросить фильтры» сохраняет текст поиска и текущий раздел.
  5. В карточке сверьте источник, версию и условия регистрации, затем откройте поля, примеры и первоисточник.

/ — перейти к поиску. Прямые ссылки открывают выбранную карточку в этом же справочнике.

Назначения портов и коды приведены по официальным реестрам. Версии, условия регистрации и ссылки на документацию указаны в карточках.

Избранное и недавние материалы хранятся в этом браузере. Запрос и фильтры сохраняются при возврате к выдаче и обновлении вкладки. Поиск работает локально.

Что есть в справочнике

От вопроса к свидетельствам: кто вошёл, что запустил, к каким данным обратился, что изменил и где искать следы.

Выберите область, чтобы посмотреть доступные источники и перейти к материалам.

Уточнить или исправить ответ

Скопируйте сообщение и отправьте его на mail@ibcourses.ru.