IBCOURSES / СПРАВОЧНИК ИБ

Windows Security 4720 — создана учётная запись

Создан новый пользовательский объект. Субъект запроса и новая учётная запись указаны в разных полях; локальную и доменную область определяют по роли узла и TargetDomainName.

Например

Материалов с пояснениями: 94 · Записей реестров: 11 678

Уточнить поиск

События и журналы

Найдено: 84

Инструкция по проверке

Windows Security 4625 — неудачная попытка входа

Зарегистрирована неудачная попытка входа. Причину уточняют по кодам результата, типу входа и контексту запроса.

Security · Security-Auditing

Инструкция по проверке

Linux Audit USER_AUTH — попытка аутентификации

Приложение сообщило о попытке аутентификации. Это тип записи Linux Audit, а не универсальный Event ID Linux.

Linux Audit · userspace

Инструкция по проверке

Кто создал учётную запись

Сначала выберите хранилище учётной записи. Затем найдите операцию и разделите технического инициатора, созданный объект и человека.

Windows / AD / Linux / IdP

Обзор источника

Альт: источники аудита и поиск событий

Альт — семейство российских ОС на базе Linux. Здесь — паспорт чтения аудита: настройки, журналы и поиск USER_AUTH.

Альт Рабочая станция 11.1

Инструкция по проверке

UserGate: где искать подключения по VPN

Найдите сессию или отказ в журнале шлюза. Отличайте подключение, разрыв, ошибку и изменение правила.

UserGate NGFW 7.5 · VPN

Инструкция по проверке

Kubernetes: кто отправил запрос на создание Pod

API audit помогает установить инициатора запроса. Для вывода о создании нужны объект, стадия и результат.

API Audit · audit.k8s.io/v1

Инструкция по проверке

Windows Security 4720 — создана учётная запись

Схема события 0

Инструкция по проверке

Windows Security 4732 — участник добавлен в локальную группу безопасности

В локальную группу безопасности добавлен участник. Для каждого участника формируется отдельная запись; название группы само по себе не показывает её эффективные полномочия.

Схема события 0

Инструкция по проверке

Windows Security 5136 — изменён атрибут объекта AD

Изменён атрибут объекта Active Directory. Обычно удаление прежнего и добавление нового значения отражаются отдельными 5136; их нужно сопоставлять, сохраняя тип операции.

Схема события 0

Инструкция по проверке

Windows Security 4624 — создан успешный сеанс входа

На целевом компьютере создан сеанс входа. Subject относится к сообщившему/служебному контексту, Target — к новому сеансу; дальнейшие действия подтверждаются отдельно.

Схема события 2

Инструкция по проверке

Windows Security 4688 — создан новый процесс

Зарегистрирован запуск процесса. Командная строка требует отдельной настройки аудита; версия события влияет на поля инициатора, целевой учётной записи и родительского процесса.

Схема события 2

Инструкция по проверке

Windows Security 4698 — создано задание планировщика

Создано задание планировщика. Событие показывает факт создания и содержимое задания, но выполнение и его результат требуют отдельных свидетельств.

Схемы события 0 / 1

Инструкция по проверке

Windows Security 4663 — использовано право доступа к объекту

Зафиксировано использование конкретного права над объектом. В отличие от запроса handle это свидетельство применения права; вид операции определяется AccessMask и типом объекта.

Схема события 1

Инструкция по проверке

Windows Security 4657 — изменено значение реестра

Изменено значение реестра. Имя ключа и имя значения различаются; событие не является универсальной записью любого изменения ключа.

Схема события 0

Инструкция по проверке

Windows Eventlog 1102 — очищен журнал Security

Очищен журнал Security. Поставщик этого события — Microsoft-Windows-Eventlog; субъект находится в UserData/LogFileCleared, а не в обычном EventData.

Схема события 0

Инструкция по проверке

Sysmon Event 1 — создание процесса

Sysmon регистрирует расширенный контекст создания процесса. GUID процесса помогает связям, командная строка — интерпретации; версия и конфигурация Sysmon определяют доступную телеметрию.

Sysmon 15.22

Инструкция по проверке

PowerShell 7: 4104 — Script Block Logging

При включённом Script Block Logging PowerShell пишет содержимое обрабатываемых script blocks. Для PowerShell 7 используется PowerShellCore/Operational; Windows PowerShell 5.1 рассматривается отдельно.

PowerShell 7.5 · схема события 1

Обзор источника

systemd journal — поиск по службе, процессу и загрузке

Journal хранит сообщения и структурированные поля. Пользовательские поля отличаются от добавленных journald; доступность и хранение определяются конкретной системой.

systemd 262

Инструкция по проверке

Linux Audit EXECVE — аргументы запуска программы

Соберите SYSCALL, EXECVE и соседние записи одного события. Аргументы, контекст входа и результат exec — разные сведения; одной строки EXECVE недостаточно.

Linux Audit · Linux 6.12 / x86-64

Инструкция по проверке

Keycloak: как разобрать LOGIN и LOGIN_ERROR в нужном realm

Сначала проверьте сохранение событий в нужном realm. LOGIN/LOGIN_ERROR описывают этап входа в IdP; ответ API, серверный обработчик событий (event listener) и административный аудит — разные источники.

Документация latest

Инструкция по проверке

Keycloak — аудит административных изменений

Административный аудит описывает REST-операции управления realm. Он включается отдельно от пользовательских событий; representation зависит от настройки.

Документация latest

Инструкция по проверке

Vault audit — запрос и ответ на доступ к секрету

Записи аудита описывают API-запросы и ответы Vault. Их связывают по request.id; значения чувствительных полей могут быть преобразованы аудитом.

Онлайн-документация продукта

Обзор источника

sudo — кто запросил выполнение от другого пользователя

Журнал sudo различает пользователя, вызвавшего sudo, и пользователя предполагаемого запуска команды (runas). Сообщение о принятой команде само по себе не содержит полного результата её работы.

sudo · журнал событий

Инструкция по проверке

Intune auditEvent — изменения управления устройствами

Аудит Intune описывает административную активность и затронутые ресурсы. Actor, результат операции и изменённые свойства помогают исследовать изменение управления парком.

Microsoft Graph v1.0

Обзор источника

Astra Linux — карта системных журналов и аудита

В документации разделены системная регистрация и аудит безопасности auditd/PARSEC. Для рабочего поиска нужен паспорт установленной редакции, профиля и фактической конфигурации.

Документация latest

Инструкция по проверке

Keycloak / OIDC: на каком этапе отказал вход

Отделите проверку URI перенаправления, аутентификацию клиента и выдачу или обновление токена. Одинаковое сообщение приложения не устанавливает этап отказа или ошибку пароля пользователя.

Keycloak 26.8.1

Инструкция по проверке

Keycloak / SAML: отказ при ответе внешнего IdP

Для Keycloak как брокера внешнего SAML IdP различайте ошибки разбора ответа, проверки назначения (Destination), подписи и условий утверждения (assertion). Общее сообщение об ошибке не определяет единственную причину.

Keycloak 26.8.1

Инструкция по проверке

Windows Security 4768 — запрос TGT в Kerberos

4768 показывает выдачу TGT или часть отказов на DC. Для причин сначала прочитайте Status и версию XML; успех выдачи TGT не подтверждает вход в приложение.

XML · схемы события 0 / 2

Инструкция по проверке

Windows Security 4769 — запрос билета службы Kerberos

4769 описывает запрос TGS на DC. Status показывает результат выдачи билета; отдельные данные приложения нужны, чтобы установить фактический доступ.

XML · схемы события 0 / 2

Инструкция по проверке

Windows Security 4771 — отказ предварительной аутентификации Kerberos

4771 фиксирует отказ предварительной аутентификации на DC. Status 0x18 указывает на непрошедшую проверку данных, но одна запись не устанавливает подбор пароля или человека.

XML · схема события 0

Инструкция по проверке

Windows Security 4720 — создана учётная запись

Установить область нового объекта

До поиска решите, создавался локальный пользователь компьютера или объект AD. Название в заявке не определяет хранилище. Для локального объекта нужен Security владельца локальной базы; для доменного — данные контроллера, зарегистрировавшего создание. Требуются успехи Audit User Account Management. Зафиксируйте роль источника, версию XML, сборку и период хранения. Состав экспорта зависит от версии схемы и средства сбора. Действующее состояние аудита не переносится автоматически на исторический период.

Читающий отбор

Get-WinEvent выбирает ID 4720 от точного Provider в Security за учебное UTC-окно. Используйте правильный узел и замените время. Именованные EventData извлекаются без локализованного Message, поэтому порядок отображения не влияет на роли. Сначала получите события периода, затем уточняйте TargetSid или имя. Если имя менялось, фильтр только по текущему названию может скрыть создание. Сохраните исходный XML и объяснение выбора источника. Текущее наличие объекта в каталоге не заменяет журнал его создания.

Пример локального пользователя

Subject operator.demo принадлежит LAB, но Target demo.local относится к WIN-LAB-01 и имеет другой SID-префикс. Доменная принадлежность инициатора не делает созданный объект доменным. Область проверяют совместно по TargetDomainName, роли компьютера и данным владельца учётной базы. TargetSid — новый объект, SubjectLogonId — сеанс инициатора. Их нельзя объединить в сущность «пользователь события». Значения вымышлены и показывают различие ролей, а не доказанный сценарий работы определённой сборки.

Проверить инициатора

Свяжите SubjectLogonId с подходящим 4624 на том же узле; сравните SID, тип входа и хронологию. Если Subject технический, найдите административный журнал системы управления, задания или приложения. Для вывода о человеке нужна связь с аутентифицированным оператором и рабочим основанием. Не назначайте автором владельца сервиса, последнего вошедшего администратора или пользователя с похожим именем. Если источник показывает только техническую identity, персональную атрибуцию оставьте нерешённой и перечислите необходимые дополнительные сведения.

Последующие проверки

Сравните создание с ожидаемым назначением, областью и согласованным сроком существования. Затем проверьте изменение членства/прав и доступные входы нового SID, сохранив их отдельными событиями. Из 4720 не следует, что учётная запись использована или получила административный доступ. Текущее состояние показывает атрибуты сейчас, включая возможные последующие изменения. При расхождении с заявкой перечислите конкретные значения и подтверждающие источники. Создание объекта, его использование и результат деятельности — разные этапы, которые нельзя подтверждать одной записью.

Если запись не найдена

Перепроверьте локальную/AD-область, подходящий узел/DC, UTC и имя на момент создания. Затем проверьте успехи аудита, ротацию и доставку. Отсутствие на одном произвольном DC не доказывает отсутствия доменного создания; запросите сведения по маршруту изменения. Разделяйте «объект существует», «создание найдено» и «автор установлен»: первый факт может быть доступен без остальных. Пустая выборка должна завершаться описанием проверенных источников и конкретным запросом владельцу каталога, а не восстановленной по догадке историей.

Поля и область применения

Исходное поле	Смысл и ограничения
`System/Computer`	Узел регистрации для определения области изменения.
`SubjectUserSid`	SID запросившей создание учётной записи.
`SubjectUserName`	Инициатор как identity, не автоматически человек.
`SubjectDomainName`	Область инициатора, может отличаться от Target.
`SubjectLogonId`	Сеанс инициатора в этом узле.
`TargetUserName`	Имя нового пользователя.
`TargetDomainName`	Область нового объекта: домен или компьютер.
`TargetSid`	SID нового объекта, сохранять при переименовании.
`SamAccountName`	Атрибут имени, не автор операции.

Примеры записей

Данные в примерах условные. Состав полей зависит от версии и настроек источника.

4720 v0: доменный инициатор, локальный Target

Фрагмент журнала. Сокращённый XML: документированные имена полей, вымышленные узел/время/SID/значения. Часть служебных полей полной записи опущена.

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"/>
    <EventID>4720</EventID><Version>0</Version>
    <TimeCreated SystemTime="2026-11-03T09:30:00.000Z"/>
    <EventRecordID>3103</EventRecordID><Channel>Security</Channel>
    <Computer>win-lab-01.example.test</Computer>
  </System>
  <EventData>
    <Data Name="SubjectUserSid">S-1-5-21-111-222-333-1101</Data>
    <Data Name="SubjectUserName">operator.demo</Data>
    <Data Name="SubjectDomainName">LAB</Data>
    <Data Name="SubjectLogonId">0x9b72</Data>
    <Data Name="TargetUserName">demo.local</Data>
    <Data Name="TargetDomainName">WIN-LAB-01</Data>
    <Data Name="TargetSid">S-1-5-21-444-555-666-1401</Data>
    <Data Name="SamAccountName">demo.local</Data>
  </EventData>
</Event>

Команды и способы проверки

Укажите свой узел, путь к журналу и временной интервал. Требуемая среда указана рядом с командой.

PowerShell / Windows Event Log, чтение локального Security. Заменить учебное UTC-окно и выбрать нужный узел. Документация Get-WinEvent: PowerShell 7.5.

$referenceStartUtc = [DateTimeOffset]::Parse('2026-11-03T09:00:00Z').UtcDateTime
$referenceEndUtc = [DateTimeOffset]::Parse('2026-11-03T11:00:00Z').UtcDateTime
Get-WinEvent -FilterHashtable @{
  LogName='Security'
  ProviderName='Microsoft-Windows-Security-Auditing'
  Id=4720
  StartTime=$referenceStartUtc
  EndTime=$referenceEndUtc
} | ForEach-Object {
  $referenceEvent = $_
  [xml]$referenceXml = $referenceEvent.ToXml()
  $referenceNs = [System.Xml.XmlNamespaceManager]::new($referenceXml.NameTable)
  $referenceNs.AddNamespace('e','http://schemas.microsoft.com/win/2004/08/events/event')
  $referenceData = @{}
  foreach ($referenceNode in $referenceXml.SelectNodes('/e:Event/e:EventData/e:Data',$referenceNs)) {
    $referenceData[$referenceNode.GetAttribute('Name')] = $referenceNode.InnerText
  }
  [pscustomobject]@{
    TimeCreatedUtc = $referenceEvent.TimeCreated.ToUniversalTime().ToString('o')
    Computer = $referenceEvent.MachineName
    Provider = $referenceEvent.ProviderName
    EventId = $referenceEvent.Id
    RecordId = $referenceEvent.RecordId
    Version = $referenceXml.SelectSingleNode('/e:Event/e:System/e:Version',$referenceNs).InnerText
    SubjectUserSid = $referenceData['SubjectUserSid']
    SubjectUserName = $referenceData['SubjectUserName']
    SubjectDomainName = $referenceData['SubjectDomainName']
    SubjectLogonId = $referenceData['SubjectLogonId']
    TargetUserName = $referenceData['TargetUserName']
    TargetDomainName = $referenceData['TargetDomainName']
    TargetSid = $referenceData['TargetSid']
    SamAccountName = $referenceData['SamAccountName']
  }
}

Windows auditpol, только чтение текущих подкатегорий; не восстановление исторической политики

auditpol /get /subcategory:* /r

Первоисточники

Служебная учётная запись инициатора сама по себе не устанавливает человека; событие не доказывает использование новой учётки.

Связанные материалы

Windows Security 4732 — участник добавлен в локальную группу безопасности
Проверить последующее включение созданной учётной записи в локальную группу по SID, узлу и времени. Независимые учебные примеры не образуют готовую цепочку.

Как пользоваться техническим справочником

Найдите порт, код ошибки, событие или источник журнала. Уточните протокол и систему, затем сверяйте значение, поля, примеры и первоисточники. Назначение порта не определяет фактическую службу, а одна запись не доказывает инцидент.

Словарь терминов ИБ →Атлас компетенций ИБ →Обучение для SOC-аналитиков →

Windows Security 4720 — создана учётная запись

Уточнить поиск

События и журналы

Windows Security 4720 — создана учётная запись

Установить область нового объекта

Читающий отбор

Пример локального пользователя

Проверить инициатора

Последующие проверки

Если запись не найдена

Поля и область применения

Примеры записей

4720 v0: доменный инициатор, локальный Target

Команды и способы проверки

PowerShell / Windows Event Log, чтение локального Security. Заменить учебное UTC-окно и выбрать нужный узел. Документация Get-WinEvent: PowerShell 7.5.

Windows auditpol, только чтение текущих подкатегорий; не восстановление исторической политики

Первоисточники

Связанные материалы

Как пользоваться техническим справочником

Порты и службы

Коды и ошибки

События и журналы

Сравнение источников

Выберите службу

Как искать в справочнике

Что есть в справочнике

Уточнить или исправить ответ