IBCOURSES / СПРАВОЧНИК ИБ

Windows Security 4740 — заблокирована учётная запись

К ответу ↓

4740 подтверждает блокировку целевой учётной записи. Subject часто системный; он не устанавливает пользователя или программу, из-за которых накопились отказы.

Например
Материалов с пояснениями: 94 · Записей реестров: 11 678

Уточнить поиск

События и журналы

Найдено: 84
Инструкция по проверке
Windows Security 4740 — заблокирована учётная запись

4740 подтверждает блокировку целевой учётной записи. Subject часто системный; он не устанавливает пользователя или программу, из-за которых накопились отказы.

XML · схема события 0
Инструкция по проверке
Windows Security 4625 — неудачная попытка входа

Зарегистрирована неудачная попытка входа. Причину уточняют по кодам результата, типу входа и контексту запроса.

Security · Security-Auditing
Инструкция по проверке
Linux Audit USER_AUTH — попытка аутентификации

Приложение сообщило о попытке аутентификации. Это тип записи Linux Audit, а не универсальный Event ID Linux.

Linux Audit · userspace
Инструкция по проверке
Кто создал учётную запись

Сначала выберите хранилище учётной записи. Затем найдите операцию и разделите технического инициатора, созданный объект и человека.

Windows / AD / Linux / IdP
Обзор источника
Альт: источники аудита и поиск событий

Альт — семейство российских ОС на базе Linux. Здесь — паспорт чтения аудита: настройки, журналы и поиск USER_AUTH.

Альт Рабочая станция 11.1
Инструкция по проверке
UserGate: где искать подключения по VPN

Найдите сессию или отказ в журнале шлюза. Отличайте подключение, разрыв, ошибку и изменение правила.

UserGate NGFW 7.5 · VPN
Инструкция по проверке
Kubernetes: кто отправил запрос на создание Pod

API audit помогает установить инициатора запроса. Для вывода о создании нужны объект, стадия и результат.

API Audit · audit.k8s.io/v1
Инструкция по проверке
Windows Security 4720 — создана учётная запись

Создан новый пользовательский объект. Субъект запроса и новая учётная запись указаны в разных полях; локальную и доменную область определяют по роли узла и TargetDomainName.

Схема события 0
Инструкция по проверке
Windows Security 4732 — участник добавлен в локальную группу безопасности

В локальную группу безопасности добавлен участник. Для каждого участника формируется отдельная запись; название группы само по себе не показывает её эффективные полномочия.

Схема события 0
Инструкция по проверке
Windows Security 5136 — изменён атрибут объекта AD

Изменён атрибут объекта Active Directory. Обычно удаление прежнего и добавление нового значения отражаются отдельными 5136; их нужно сопоставлять, сохраняя тип операции.

Схема события 0
Инструкция по проверке
Windows Security 4624 — создан успешный сеанс входа

На целевом компьютере создан сеанс входа. Subject относится к сообщившему/служебному контексту, Target — к новому сеансу; дальнейшие действия подтверждаются отдельно.

Схема события 2
Инструкция по проверке
Windows Security 4688 — создан новый процесс

Зарегистрирован запуск процесса. Командная строка требует отдельной настройки аудита; версия события влияет на поля инициатора, целевой учётной записи и родительского процесса.

Схема события 2
Инструкция по проверке
Windows Security 4698 — создано задание планировщика

Создано задание планировщика. Событие показывает факт создания и содержимое задания, но выполнение и его результат требуют отдельных свидетельств.

Схемы события 0 / 1
Инструкция по проверке
Windows Security 4663 — использовано право доступа к объекту

Зафиксировано использование конкретного права над объектом. В отличие от запроса handle это свидетельство применения права; вид операции определяется AccessMask и типом объекта.

Схема события 1
Инструкция по проверке
Windows Security 4657 — изменено значение реестра

Изменено значение реестра. Имя ключа и имя значения различаются; событие не является универсальной записью любого изменения ключа.

Схема события 0
Инструкция по проверке
Windows Eventlog 1102 — очищен журнал Security

Очищен журнал Security. Поставщик этого события — Microsoft-Windows-Eventlog; субъект находится в UserData/LogFileCleared, а не в обычном EventData.

Схема события 0
Инструкция по проверке
Sysmon Event 1 — создание процесса

Sysmon регистрирует расширенный контекст создания процесса. GUID процесса помогает связям, командная строка — интерпретации; версия и конфигурация Sysmon определяют доступную телеметрию.

Sysmon 15.22
Инструкция по проверке
PowerShell 7: 4104 — Script Block Logging

При включённом Script Block Logging PowerShell пишет содержимое обрабатываемых script blocks. Для PowerShell 7 используется PowerShellCore/Operational; Windows PowerShell 5.1 рассматривается отдельно.

PowerShell 7.5 · схема события 1
Обзор источника
systemd journal — поиск по службе, процессу и загрузке

Journal хранит сообщения и структурированные поля. Пользовательские поля отличаются от добавленных journald; доступность и хранение определяются конкретной системой.

systemd 262
Инструкция по проверке
Linux Audit EXECVE — аргументы запуска программы

Соберите SYSCALL, EXECVE и соседние записи одного события. Аргументы, контекст входа и результат exec — разные сведения; одной строки EXECVE недостаточно.

Linux Audit · Linux 6.12 / x86-64
Инструкция по проверке
Keycloak: как разобрать LOGIN и LOGIN_ERROR в нужном realm

Сначала проверьте сохранение событий в нужном realm. LOGIN/LOGIN_ERROR описывают этап входа в IdP; ответ API, серверный обработчик событий (event listener) и административный аудит — разные источники.

Документация latest
Инструкция по проверке
Keycloak — аудит административных изменений

Административный аудит описывает REST-операции управления realm. Он включается отдельно от пользовательских событий; representation зависит от настройки.

Документация latest
Инструкция по проверке
Vault audit — запрос и ответ на доступ к секрету

Записи аудита описывают API-запросы и ответы Vault. Их связывают по request.id; значения чувствительных полей могут быть преобразованы аудитом.

Онлайн-документация продукта
Обзор источника
sudo — кто запросил выполнение от другого пользователя

Журнал sudo различает пользователя, вызвавшего sudo, и пользователя предполагаемого запуска команды (runas). Сообщение о принятой команде само по себе не содержит полного результата её работы.

sudo · журнал событий
Инструкция по проверке
Intune auditEvent — изменения управления устройствами

Аудит Intune описывает административную активность и затронутые ресурсы. Actor, результат операции и изменённые свойства помогают исследовать изменение управления парком.

Microsoft Graph v1.0
Обзор источника
Astra Linux — карта системных журналов и аудита

В документации разделены системная регистрация и аудит безопасности auditd/PARSEC. Для рабочего поиска нужен паспорт установленной редакции, профиля и фактической конфигурации.

Документация latest
Инструкция по проверке
Keycloak / OIDC: на каком этапе отказал вход

Отделите проверку URI перенаправления, аутентификацию клиента и выдачу или обновление токена. Одинаковое сообщение приложения не устанавливает этап отказа или ошибку пароля пользователя.

Keycloak 26.8.1
Инструкция по проверке
Keycloak / SAML: отказ при ответе внешнего IdP

Для Keycloak как брокера внешнего SAML IdP различайте ошибки разбора ответа, проверки назначения (Destination), подписи и условий утверждения (assertion). Общее сообщение об ошибке не определяет единственную причину.

Keycloak 26.8.1
Инструкция по проверке
Windows Security 4768 — запрос TGT в Kerberos

4768 показывает выдачу TGT или часть отказов на DC. Для причин сначала прочитайте Status и версию XML; успех выдачи TGT не подтверждает вход в приложение.

XML · схемы события 0 / 2
Инструкция по проверке
Windows Security 4769 — запрос билета службы Kerberos

4769 описывает запрос TGS на DC. Status показывает результат выдачи билета; отдельные данные приложения нужны, чтобы установить фактический доступ.

XML · схемы события 0 / 2
Инструкция по проверке

Windows Security 4740 — заблокирована учётная запись

4740 подтверждает блокировку целевой учётной записи. Subject часто системный; он не устанавливает пользователя или программу, из-за которых накопились отказы.

1. Установите владельца учётной записи

Уточните, локальная это учётная запись, AD или другой IdP. 4740 нужно искать в соответствующей Windows-области; блокировка Keycloak имеет отдельный источник. Сохраните TargetSid и узел регистрации. При доменном случае соберите нужные DC и временной интервал. Текущая разблокировка не отменяет историческую запись и не заменяет объяснения первоначального отказа.

2. Проверьте аудит и сохранность

Для записи блокировки требуется соответствующий аудит управления учётными записями и сохранившийся Security. Пример использует XML-схему версии 0. Читающий запрос работает по разрешённому EVTX, точному Provider и UTC. Проверяйте доступ, ротацию и доставку отдельно; пустая SIEM-выборка не равнозначна отсутствию события на источнике.

3. Разделите Subject и Target

В примере SID S-1-5-18 и имя DC-01$ в полях Subject описывают системную операцию, а TargetSid — заблокированного пользователя. Нельзя объявлять DC-01$ человеком, который вводил неверный пароль. SubjectLogonId относится к системному субъекту на этом узле. Для поиска первоначальных попыток потребуется отдельный журнал отказов, а не переименование ролей внутри 4740.

4. Не выдумывайте caller-поле

Страница Microsoft описывает Caller Computer Name, однако её XML-пример не даёт Data Name="CallerComputerName". Поэтому пример сохраняет подтверждённые поля, а запрос оставляет caller пустым при его отсутствии. Сверьте фактический XML/манифест и экспортёр. Не превращайте TargetDomainName или имя DC в адрес отправителя по предположению; это создаёт ложную атрибуцию.

5. Найдите повторяющийся источник

Постройте ограниченный UTC-интервал перед 4740 и сопоставьте 4771/4625 с той же identity, сохраняя роли узлов. Проверьте службы, задания, VPN, мобильный клиент и другие известные пути через владельцев. Учтите переименование, посредников, дубли и повторные события. Запись рядом по времени не становится причиной блокировки без совпадающего контекста.

6. Зафиксируйте проверяемый итог

Отделите факт блокировки от гипотезы об устаревшем секрете, ошибке человека или атаке. Не разблокируйте пользователя и не повторяйте входы в рамках этого читающего маршрута. Если первоначальные отказы недоступны, укажите отсутствующий DC/журнал/период. Завершённым результатом может быть установленная identity и интервал блокировки при ещё неизвестном источнике повторений.

Поля и область применения

Исходное полеСмысл и ограничения
System/Provider/@NameТочный Provider; одно число EventID не устанавливает источник.
System/ChannelSecurity в исходном XML, включая события из сохранённого EVTX.
System/ComputerУзел регистрации; DC и клиент/сервер приложения выполняют разные роли.
System/VersionВерсия схемы; отсутствующие новые поля не заполнять догадкой.
System/TimeCreated/@SystemTimeUTC источника. Учитывать погрешность часов и отдельно время доставки.
System/EventRecordIDПозиция в журнале конкретного узла, не глобальный идентификатор обмена.
TargetUserName / TargetSidЗаблокированная учётная запись. SID сохраняет связь при переименовании.
TargetDomainNameСохранять буквально из XML; семантику поля сверять с манифестом установленной сборки.
SubjectUserSid / SubjectUserNameСубъект операции блокировки, часто SYSTEM. Это не доказанный источник ошибочного пароля.
SubjectLogonIdСеанс Subject на узле регистрации; не сеанс виновного пользователя.
CallerComputerName при наличииТекст Microsoft описывает Caller Computer, но XML-пример страницы не содержит Data с этим именем. Применимость проверить по исходному XML/манифесту, не синтезировать значение.

Примеры записей

Данные в примерах условные. Состав полей зависит от версии и настроек источника.

4740 v0: системный субъект и заблокированный Target

Фрагмент журнала. Сокращённый фрагмент документированного XML. Все имена, SID, адреса и время вымышлены; это не полный экспорт. Необязательные/добавочные поля опущены, отсутствие поля не означает ноль.

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"/>
    <EventID>4740</EventID><Version>0</Version>
    <TimeCreated SystemTime="2026-11-04T07:03:00.000Z"/><EventRecordID>7006</EventRecordID>
    <Channel>Security</Channel><Computer>dc-01.example.test</Computer>
  </System>
  <EventData>
    <Data Name="TargetUserName">demo.user</Data>
    <Data Name="TargetDomainName">EXAMPLE</Data>
    <Data Name="TargetSid">S-1-5-21-111-222-333-1101</Data>
    <Data Name="SubjectUserSid">S-1-5-18</Data>
    <Data Name="SubjectUserName">DC-01$</Data>
    <Data Name="SubjectDomainName">EXAMPLE</Data>
    <Data Name="SubjectLogonId">0x3e7</Data>
  </EventData>
</Event>

Команды и способы проверки

Укажите свой узел, путь к журналу и временной интервал. Требуемая среда указана рядом с командой.

PowerShell 7.5 / Windows: чтение разрешённой локальной копии EVTX. Заменить путь и учебное UTC-окно.

$referenceStartUtc = [DateTimeOffset]::Parse('2026-11-04T06:55:00Z').UtcDateTime
$referenceEndUtc = [DateTimeOffset]::Parse('2026-11-04T07:10:00Z').UtcDateTime
Get-WinEvent -FilterHashtable @{
  Path='C:\Evidence\Security.evtx'
  ProviderName='Microsoft-Windows-Security-Auditing'
  Id=4740
  StartTime=$referenceStartUtc
  EndTime=$referenceEndUtc
} | ForEach-Object {
  $referenceEvent = $_
  [xml]$referenceXml = $referenceEvent.ToXml()
  $referenceNs = [System.Xml.XmlNamespaceManager]::new($referenceXml.NameTable)
  $referenceNs.AddNamespace('e','http://schemas.microsoft.com/win/2004/08/events/event')
  $referenceData = @{}
  foreach ($referenceNode in $referenceXml.SelectNodes('/e:Event/e:EventData/e:Data',$referenceNs)) {
    $referenceData[$referenceNode.GetAttribute('Name')] = $referenceNode.InnerText
  }
  [pscustomobject]@{
    TimeCreatedUtc = $referenceEvent.TimeCreated.ToUniversalTime().ToString('o')
    Computer = $referenceEvent.MachineName
    Provider = $referenceEvent.ProviderName
    EventId = $referenceEvent.Id
    RecordId = $referenceEvent.RecordId
    Version = $referenceXml.SelectSingleNode('/e:Event/e:System/e:Version',$referenceNs).InnerText
    TargetUserName = $referenceData['TargetUserName']
    TargetDomainName = $referenceData['TargetDomainName']
    TargetSid = $referenceData['TargetSid']
    ServiceName = $referenceData['ServiceName']
    Status = $referenceData['Status']
    IpAddress = $referenceData['IpAddress']
    PreAuthType = $referenceData['PreAuthType']
    LogonGuid = $referenceData['LogonGuid']
    TicketEncryptionType = $referenceData['TicketEncryptionType']
    SessionKeyEncryptionType = $referenceData['SessionKeyEncryptionType']
    SubjectUserSid = $referenceData['SubjectUserSid']
    SubjectUserName = $referenceData['SubjectUserName']
    SubjectLogonId = $referenceData['SubjectLogonId']
    CallerComputerName = $referenceData['CallerComputerName']
  }
}

Первоисточники

Subject блокировки, caller-компьютер и человек — разные роли. Не всякая блокировка является атакой; текущий статус не восстанавливает полную историю.

Связанные материалы

Как пользоваться техническим справочником

Найдите порт, код ошибки, событие или источник журнала. Уточните протокол и систему, затем сверяйте значение, поля, примеры и первоисточники. Назначение порта не определяет фактическую службу, а одна запись не доказывает инцидент.

Словарь терминов ИБ →Атлас компетенций ИБ →Обучение для SOC-аналитиков →
Материалы по разделам

Порты и службы

Коды и ошибки

События и журналы

Два ответа рядом

Сравнение источников

Сравнение показывает различия. События и поля разных систем не считаются эквивалентными.

Выберите службу

В списке — службы, доступные с текущими условиями. Число рядом — количество записей портов, а не программ на вашем узле.

Как искать в справочнике

Введите число, код, фрагмент сообщения или вопрос. Известный идентификатор поможет найти карточку; это не анализ самого инцидента.

  1. Введите номер, код, имя или фрагмент записи. Для портов можно использовать список: 80, 443, 8000–8010.
  2. Уточните поиск фильтрами. Все условия действуют одновременно. Числа в списках показывают, сколько материалов останется при выборе варианта.
  3. Службу выбирайте из каталога: поиск внутри списка помогает найти название, а кнопка «Выбрать» применяет его.
  4. Убирайте отдельные условия кнопкой × рядом с фильтром. «Сбросить фильтры» сохраняет текст поиска и текущий раздел.
  5. В карточке сверьте источник, версию и условия регистрации, затем откройте поля, примеры и первоисточник.

/ — перейти к поиску. Прямые ссылки открывают выбранную карточку в этом же справочнике.

Назначения портов и коды приведены по официальным реестрам. Версии, условия регистрации и ссылки на документацию указаны в карточках.

Избранное и недавние материалы хранятся в этом браузере. Запрос и фильтры сохраняются при возврате к выдаче и обновлении вкладки. Поиск работает локально.

Что есть в справочнике

От вопроса к свидетельствам: кто вошёл, что запустил, к каким данным обратился, что изменил и где искать следы.

Выберите область, чтобы посмотреть доступные источники и перейти к материалам.

Уточнить или исправить ответ

Скопируйте сообщение и отправьте его на mail@ibcourses.ru.