IBCOURSES / СПРАВОЧНИК ИБ

Windows Security 4688 — создан новый процесс

Зарегистрирован запуск процесса. Командная строка требует отдельной настройки аудита; версия события влияет на поля инициатора, целевой учётной записи и родительского процесса.

Например

Материалов с пояснениями: 94 · Записей реестров: 11 678

Уточнить поиск

События и журналы

Найдено: 84

Инструкция по проверке

Windows Security 4625 — неудачная попытка входа

Зарегистрирована неудачная попытка входа. Причину уточняют по кодам результата, типу входа и контексту запроса.

Security · Security-Auditing

Инструкция по проверке

Linux Audit USER_AUTH — попытка аутентификации

Приложение сообщило о попытке аутентификации. Это тип записи Linux Audit, а не универсальный Event ID Linux.

Linux Audit · userspace

Инструкция по проверке

Кто создал учётную запись

Сначала выберите хранилище учётной записи. Затем найдите операцию и разделите технического инициатора, созданный объект и человека.

Windows / AD / Linux / IdP

Обзор источника

Альт: источники аудита и поиск событий

Альт — семейство российских ОС на базе Linux. Здесь — паспорт чтения аудита: настройки, журналы и поиск USER_AUTH.

Альт Рабочая станция 11.1

Инструкция по проверке

UserGate: где искать подключения по VPN

Найдите сессию или отказ в журнале шлюза. Отличайте подключение, разрыв, ошибку и изменение правила.

UserGate NGFW 7.5 · VPN

Инструкция по проверке

Kubernetes: кто отправил запрос на создание Pod

API audit помогает установить инициатора запроса. Для вывода о создании нужны объект, стадия и результат.

API Audit · audit.k8s.io/v1

Инструкция по проверке

Windows Security 4720 — создана учётная запись

Создан новый пользовательский объект. Субъект запроса и новая учётная запись указаны в разных полях; локальную и доменную область определяют по роли узла и TargetDomainName.

Схема события 0

Инструкция по проверке

Windows Security 4732 — участник добавлен в локальную группу безопасности

В локальную группу безопасности добавлен участник. Для каждого участника формируется отдельная запись; название группы само по себе не показывает её эффективные полномочия.

Схема события 0

Инструкция по проверке

Windows Security 5136 — изменён атрибут объекта AD

Изменён атрибут объекта Active Directory. Обычно удаление прежнего и добавление нового значения отражаются отдельными 5136; их нужно сопоставлять, сохраняя тип операции.

Схема события 0

Инструкция по проверке

Windows Security 4624 — создан успешный сеанс входа

На целевом компьютере создан сеанс входа. Subject относится к сообщившему/служебному контексту, Target — к новому сеансу; дальнейшие действия подтверждаются отдельно.

Схема события 2

Инструкция по проверке

Windows Security 4688 — создан новый процесс

Схема события 2

Инструкция по проверке

Windows Security 4698 — создано задание планировщика

Создано задание планировщика. Событие показывает факт создания и содержимое задания, но выполнение и его результат требуют отдельных свидетельств.

Схемы события 0 / 1

Инструкция по проверке

Windows Security 4663 — использовано право доступа к объекту

Зафиксировано использование конкретного права над объектом. В отличие от запроса handle это свидетельство применения права; вид операции определяется AccessMask и типом объекта.

Схема события 1

Инструкция по проверке

Windows Security 4657 — изменено значение реестра

Изменено значение реестра. Имя ключа и имя значения различаются; событие не является универсальной записью любого изменения ключа.

Схема события 0

Инструкция по проверке

Windows Eventlog 1102 — очищен журнал Security

Очищен журнал Security. Поставщик этого события — Microsoft-Windows-Eventlog; субъект находится в UserData/LogFileCleared, а не в обычном EventData.

Схема события 0

Инструкция по проверке

Sysmon Event 1 — создание процесса

Sysmon регистрирует расширенный контекст создания процесса. GUID процесса помогает связям, командная строка — интерпретации; версия и конфигурация Sysmon определяют доступную телеметрию.

Sysmon 15.22

Инструкция по проверке

PowerShell 7: 4104 — Script Block Logging

При включённом Script Block Logging PowerShell пишет содержимое обрабатываемых script blocks. Для PowerShell 7 используется PowerShellCore/Operational; Windows PowerShell 5.1 рассматривается отдельно.

PowerShell 7.5 · схема события 1

Обзор источника

systemd journal — поиск по службе, процессу и загрузке

Journal хранит сообщения и структурированные поля. Пользовательские поля отличаются от добавленных journald; доступность и хранение определяются конкретной системой.

systemd 262

Инструкция по проверке

Linux Audit EXECVE — аргументы запуска программы

Соберите SYSCALL, EXECVE и соседние записи одного события. Аргументы, контекст входа и результат exec — разные сведения; одной строки EXECVE недостаточно.

Linux Audit · Linux 6.12 / x86-64

Инструкция по проверке

Keycloak: как разобрать LOGIN и LOGIN_ERROR в нужном realm

Сначала проверьте сохранение событий в нужном realm. LOGIN/LOGIN_ERROR описывают этап входа в IdP; ответ API, серверный обработчик событий (event listener) и административный аудит — разные источники.

Документация latest

Инструкция по проверке

Keycloak — аудит административных изменений

Административный аудит описывает REST-операции управления realm. Он включается отдельно от пользовательских событий; representation зависит от настройки.

Документация latest

Инструкция по проверке

Vault audit — запрос и ответ на доступ к секрету

Записи аудита описывают API-запросы и ответы Vault. Их связывают по request.id; значения чувствительных полей могут быть преобразованы аудитом.

Онлайн-документация продукта

Обзор источника

sudo — кто запросил выполнение от другого пользователя

Журнал sudo различает пользователя, вызвавшего sudo, и пользователя предполагаемого запуска команды (runas). Сообщение о принятой команде само по себе не содержит полного результата её работы.

sudo · журнал событий

Инструкция по проверке

Intune auditEvent — изменения управления устройствами

Аудит Intune описывает административную активность и затронутые ресурсы. Actor, результат операции и изменённые свойства помогают исследовать изменение управления парком.

Microsoft Graph v1.0

Обзор источника

Astra Linux — карта системных журналов и аудита

В документации разделены системная регистрация и аудит безопасности auditd/PARSEC. Для рабочего поиска нужен паспорт установленной редакции, профиля и фактической конфигурации.

Документация latest

Инструкция по проверке

Keycloak / OIDC: на каком этапе отказал вход

Отделите проверку URI перенаправления, аутентификацию клиента и выдачу или обновление токена. Одинаковое сообщение приложения не устанавливает этап отказа или ошибку пароля пользователя.

Keycloak 26.8.1

Инструкция по проверке

Keycloak / SAML: отказ при ответе внешнего IdP

Для Keycloak как брокера внешнего SAML IdP различайте ошибки разбора ответа, проверки назначения (Destination), подписи и условий утверждения (assertion). Общее сообщение об ошибке не определяет единственную причину.

Keycloak 26.8.1

Инструкция по проверке

Windows Security 4768 — запрос TGT в Kerberos

4768 показывает выдачу TGT или часть отказов на DC. Для причин сначала прочитайте Status и версию XML; успех выдачи TGT не подтверждает вход в приложение.

XML · схемы события 0 / 2

Инструкция по проверке

Windows Security 4769 — запрос билета службы Kerberos

4769 описывает запрос TGS на DC. Status показывает результат выдачи билета; отдельные данные приложения нужны, чтобы установить фактический доступ.

XML · схемы события 0 / 2

Инструкция по проверке

Windows Security 4771 — отказ предварительной аутентификации Kerberos

4771 фиксирует отказ предварительной аутентификации на DC. Status 0x18 указывает на непрошедшую проверку данных, но одна запись не устанавливает подбор пароля или человека.

XML · схема события 0

Инструкция по проверке

Windows Security 4688 — создан новый процесс

Политика и версия схемы

Для регистрации нужны успехи Audit Process Creation. Содержимое CommandLine требует отдельно Include command line in process creation events; наличие 4688 не подтверждает эту настройку. Пример использует версию 2 с отдельными Creator/Target Subject и ParentProcessName. Сначала прочитайте System/Version, затем выбирайте поля. Зафиксируйте сборку и фактически действовавшую политику. Включение регистрации позже не восстанавливает пропущенный исторический запуск. Чтение текущей политики также не доказывает её неизменность.

Чтение и сохранение

Фильтр ограничивает локальный Security точным Provider, ID и UTC-периодом. Разбор именованных Data сохраняет смысл при пустом поле и не зависит от языка Message. Не подменяйте NewProcessId фиксированным индексом Properties без знания версии. Храните исходное hex-значение рядом с преобразованным decimal. При большом объёме уточняйте время и узел до фильтра по имени программы: короткая зацепка может отличаться от полного пути. Команды читают журнал; замените временной интервал своим.

Разбор создателя и целевого контекста

В XML-примере Creator — системный контекст, Target — analyst.demo. Это разные роли, поэтому имя в Target не устанавливает человека, запросившего запуск. NewProcessId=0x1200 означает PID 4608, ProcessId=0x500 — PID создателя 1280. EventData/ProcessId не равен служебному System/Execution/ProcessID. ParentProcessName относится к создателю, NewProcessName — к новому процессу. Иллюстрация whoami.exe /user не содержит вывода и не доказывает успешного завершения. Все значения в примере условные.

Корреляция по процессу и времени

Найдите более раннее создание родителя с соответствующим NewProcessId на том же компьютере. Сверьте путь и доступные границы времени жизни: PID после завершения может использоваться снова. Текущий Get-Process спустя время не устанавливает исторического владельца. Для сеанса отдельно связывайте Creator и Target с подходящими 4624, выбирая соответствующий LogonId. Если прямых ключей нет, связь только по времени остаётся гипотезой. Разные часы, неполный экспорт и задержка доставки требуют проверки, прежде чем объявлять противоречие в цепочке.

Следующий шаг и допустимый вывод

Штатная программа и обычное имя файла не означают автоматически безопасность или атаку. Сравните запуск с ролью узла, заданиями и журналом приложения. Для результата команды нужен её вывод или отдельная запись; для сетевого действия — соответствующая телеметрия. Sysmon/EDR могут дать независимый контекст. Различайте Windows PID и отдельные идентификаторы продукта, например ProcessGuid; перед сопоставлением проверяйте смысл конкретного поля. Зафиксируйте отдельно создание процесса, учётные контексты, подтверждённые действия и неизвестный результат. Персональная атрибуция требует дополнительной связи с аутентифицированным оператором или одобренной задачей.

Если события или CommandLine нет

Проверьте узел, UTC-окно, успехи аудита в нужный момент, ротацию и фильтры сборщика. Пустая CommandLine не означает запуск без параметров: сверяются версия и отдельная политика. Если нормализованная запись потеряла Target Subject, сначала сравните исходный XML. Не называйте поле неподдерживаемым только по экрану SIEM. Отсутствие 4688 в имеющемся наборе не доказывает отсутствия запуска; укажите ограничения и запросите сохранённую конфигурацию или независимые процессные данные.

Поля и область применения

Исходное поле	Смысл и ограничения
`System/Version`	Схема 2 добавляет Target Subject и ParentProcessName.
`SubjectUserSid`	Creator Subject: запросивший создание контекст.
`SubjectLogonId`	Сеанс создателя.
`TargetUserSid`	Target Subject версии 2; может отличаться от создателя.
`TargetLogonId`	Сеанс целевого контекста при наличии.
`NewProcessId`	PID нового процесса в hex; 0x1200 = 4608 decimal.
`NewProcessName`	Путь образа нового процесса.
`ProcessId`	PID процесса-создателя в EventData; не System/Execution/ProcessID.
`ParentProcessName`	Путь процесса-создателя в версии 2.
`CommandLine`	Аргументы при действовавшей отдельной политике; может быть пусто.

Примеры записей

Данные в примерах условные. Состав полей зависит от версии и настроек источника.

4688 v2: Creator и Target различаются

Фрагмент журнала. Сокращённый XML: документированные имена полей, вымышленные узел/время/SID/значения. Часть служебных полей полной записи опущена.

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"/>
    <EventID>4688</EventID><Version>2</Version>
    <TimeCreated SystemTime="2026-11-03T09:12:00.000Z"/>
    <EventRecordID>3102</EventRecordID><Channel>Security</Channel>
    <Computer>win-lab-01.example.test</Computer>
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-5-18</Data>
    <Data Name="SubjectUserName">WIN-LAB-01$</Data>
    <Data Name="SubjectDomainName">LAB</Data>
    <Data Name="SubjectLogonId">0x3e7</Data>
    <Data Name="TargetUserSid">S-1-5-21-111-222-333-1401</Data>
    <Data Name="TargetUserName">analyst.demo</Data>
    <Data Name="TargetDomainName">LAB</Data>
    <Data Name="TargetLogonId">0x8a61</Data>
    <Data Name="NewProcessId">0x1200</Data>
    <Data Name="NewProcessName">C:\Windows\System32\whoami.exe</Data>
    <Data Name="ProcessId">0x500</Data>
    <Data Name="ParentProcessName">C:\Windows\System32\services.exe</Data>
    <Data Name="CommandLine">whoami.exe /user</Data>
  </EventData>
</Event>

Команды и способы проверки

Укажите свой узел, путь к журналу и временной интервал. Требуемая среда указана рядом с командой.

PowerShell / Windows Event Log, чтение локального Security. Заменить учебное UTC-окно и выбрать нужный узел. Документация Get-WinEvent: PowerShell 7.5.

$referenceStartUtc = [DateTimeOffset]::Parse('2026-11-03T09:00:00Z').UtcDateTime
$referenceEndUtc = [DateTimeOffset]::Parse('2026-11-03T11:00:00Z').UtcDateTime
Get-WinEvent -FilterHashtable @{
  LogName='Security'
  ProviderName='Microsoft-Windows-Security-Auditing'
  Id=4688
  StartTime=$referenceStartUtc
  EndTime=$referenceEndUtc
} | ForEach-Object {
  $referenceEvent = $_
  [xml]$referenceXml = $referenceEvent.ToXml()
  $referenceNs = [System.Xml.XmlNamespaceManager]::new($referenceXml.NameTable)
  $referenceNs.AddNamespace('e','http://schemas.microsoft.com/win/2004/08/events/event')
  $referenceData = @{}
  foreach ($referenceNode in $referenceXml.SelectNodes('/e:Event/e:EventData/e:Data',$referenceNs)) {
    $referenceData[$referenceNode.GetAttribute('Name')] = $referenceNode.InnerText
  }
  [pscustomobject]@{
    TimeCreatedUtc = $referenceEvent.TimeCreated.ToUniversalTime().ToString('o')
    Computer = $referenceEvent.MachineName
    Provider = $referenceEvent.ProviderName
    EventId = $referenceEvent.Id
    RecordId = $referenceEvent.RecordId
    Version = $referenceXml.SelectSingleNode('/e:Event/e:System/e:Version',$referenceNs).InnerText
    SubjectUserSid = $referenceData['SubjectUserSid']
    SubjectLogonId = $referenceData['SubjectLogonId']
    TargetUserSid = $referenceData['TargetUserSid']
    TargetLogonId = $referenceData['TargetLogonId']
    NewProcessId = $referenceData['NewProcessId']
    NewProcessName = $referenceData['NewProcessName']
    ProcessId = $referenceData['ProcessId']
    ParentProcessName = $referenceData['ParentProcessName']
    CommandLine = $referenceData['CommandLine']
  }
}

Windows auditpol, только чтение текущих подкатегорий; не восстановление исторической политики

auditpol /get /subcategory:* /r

Первоисточники

PID переиспользуется; пустая CommandLine не означает отсутствие аргументов. Создание процесса не подтверждает его успешный результат.

Связанные материалы

Windows Security 4624 — создан успешный сеанс входа
Проверить соответствующий сеанс на том же компьютере: Creator/Target LogonId выбирать по роли, а не по совпадению первого поля.

Как пользоваться техническим справочником

Найдите порт, код ошибки, событие или источник журнала. Уточните протокол и систему, затем сверяйте значение, поля, примеры и первоисточники. Назначение порта не определяет фактическую службу, а одна запись не доказывает инцидент.

Словарь терминов ИБ →Атлас компетенций ИБ →Обучение для SOC-аналитиков →

Windows Security 4688 — создан новый процесс

Уточнить поиск

События и журналы

Windows Security 4688 — создан новый процесс

Политика и версия схемы

Чтение и сохранение

Разбор создателя и целевого контекста

Корреляция по процессу и времени

Следующий шаг и допустимый вывод

Если события или CommandLine нет

Поля и область применения

Примеры записей

4688 v2: Creator и Target различаются

Команды и способы проверки

PowerShell / Windows Event Log, чтение локального Security. Заменить учебное UTC-окно и выбрать нужный узел. Документация Get-WinEvent: PowerShell 7.5.

Windows auditpol, только чтение текущих подкатегорий; не восстановление исторической политики

Первоисточники

Связанные материалы

Как пользоваться техническим справочником

Порты и службы

Коды и ошибки

События и журналы

Сравнение источников

Выберите службу

Как искать в справочнике

Что есть в справочнике

Уточнить или исправить ответ