Windows Security 4768 — запрос TGT в Kerberos

Поля и область применения

Примеры записей

Данные в примерах условные. Состав полей зависит от версии и настроек источника.

4768 v0: неизвестный клиент

Фрагмент журнала. Сокращённый фрагмент документированного XML. Все имена, SID, адреса и время вымышлены; это не полный экспорт. Необязательные/добавочные поля опущены, отсутствие поля не означает ноль.

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"/>
    <EventID>4768</EventID><Version>0</Version>
    <TimeCreated SystemTime="2026-11-04T07:00:10.000Z"/><EventRecordID>7002</EventRecordID>
    <Channel>Security</Channel><Computer>dc-01.example.test</Computer>
  </System>
  <EventData>
    <Data Name="TargetUserName">demo.typo</Data>
    <Data Name="TargetDomainName">EXAMPLE.TEST</Data>
    <Data Name="TargetSid">S-1-0-0</Data>
    <Data Name="ServiceName">krbtgt/EXAMPLE.TEST</Data>
    <Data Name="ServiceSid">S-1-0-0</Data>
    <Data Name="TicketOptions">0x40810010</Data>
    <Data Name="Status">0x6</Data>
    <Data Name="IpAddress">::ffff:192.0.2.30</Data>
    <Data Name="IpPort">52000</Data>
  </EventData>
</Event>

4768 v2: успешный результат, добавочные поля

Фрагмент журнала. Сокращённый фрагмент документированного XML. Все имена, SID, адреса и время вымышлены; это не полный экспорт. Необязательные/добавочные поля опущены, отсутствие поля не означает ноль.

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"/>
    <EventID>4768</EventID><Version>2</Version>
    <TimeCreated SystemTime="2026-11-04T07:01:00.000Z"/><EventRecordID>7003</EventRecordID>
    <Channel>Security</Channel><Computer>dc-01.example.test</Computer>
  </System>
  <EventData>
    <Data Name="TargetUserName">demo.user</Data>
    <Data Name="TargetDomainName">EXAMPLE.TEST</Data>
    <Data Name="TargetSid">S-1-5-21-111-222-333-1101</Data>
    <Data Name="ServiceName">krbtgt</Data>
    <Data Name="Status">0x0</Data>
    <Data Name="TicketEncryptionType">0x12</Data>
    <Data Name="PreAuthType">2</Data>
    <Data Name="IpAddress">::ffff:192.0.2.30</Data>
    <Data Name="IpPort">52001</Data>
    <Data Name="SessionKeyEncryptionType">0x12</Data>
    <Data Name="PreAuthEncryptionType">0x12</Data>
  </EventData>
</Event>

Команды и способы проверки

Укажите свой узел, путь к журналу и временной интервал. Требуемая среда указана рядом с командой.

PowerShell 7.5 / Windows: чтение разрешённой локальной копии EVTX. Заменить путь и учебное UTC-окно.

$referenceStartUtc = [DateTimeOffset]::Parse('2026-11-04T06:55:00Z').UtcDateTime
$referenceEndUtc = [DateTimeOffset]::Parse('2026-11-04T07:10:00Z').UtcDateTime
Get-WinEvent -FilterHashtable @{
  Path='C:\Evidence\Security.evtx'
  ProviderName='Microsoft-Windows-Security-Auditing'
  Id=4768
  StartTime=$referenceStartUtc
  EndTime=$referenceEndUtc
} | ForEach-Object {
  $referenceEvent = $_
  [xml]$referenceXml = $referenceEvent.ToXml()
  $referenceNs = [System.Xml.XmlNamespaceManager]::new($referenceXml.NameTable)
  $referenceNs.AddNamespace('e','http://schemas.microsoft.com/win/2004/08/events/event')
  $referenceData = @{}
  foreach ($referenceNode in $referenceXml.SelectNodes('/e:Event/e:EventData/e:Data',$referenceNs)) {
    $referenceData[$referenceNode.GetAttribute('Name')] = $referenceNode.InnerText
  }
  [pscustomobject]@{
    TimeCreatedUtc = $referenceEvent.TimeCreated.ToUniversalTime().ToString('o')
    Computer = $referenceEvent.MachineName
    Provider = $referenceEvent.ProviderName
    EventId = $referenceEvent.Id
    RecordId = $referenceEvent.RecordId
    Version = $referenceXml.SelectSingleNode('/e:Event/e:System/e:Version',$referenceNs).InnerText
    TargetUserName = $referenceData['TargetUserName']
    TargetDomainName = $referenceData['TargetDomainName']
    TargetSid = $referenceData['TargetSid']
    ServiceName = $referenceData['ServiceName']
    Status = $referenceData['Status']
    IpAddress = $referenceData['IpAddress']
    PreAuthType = $referenceData['PreAuthType']
    LogonGuid = $referenceData['LogonGuid']
    TicketEncryptionType = $referenceData['TicketEncryptionType']
    SessionKeyEncryptionType = $referenceData['SessionKeyEncryptionType']
    SubjectUserSid = $referenceData['SubjectUserSid']
    SubjectUserName = $referenceData['SubjectUserName']
    SubjectLogonId = $referenceData['SubjectLogonId']
    CallerComputerName = $referenceData['CallerComputerName']
  }
}

Первоисточники

• Microsoft: событие 4768 — запрос TGT
• Microsoft: Get-WinEvent
• Microsoft: Audit Kerberos Authentication Service
• IETF RFC 4120: Kerberos V5

Связанные материалы

• Windows Security 4771 — отказ предварительной аутентификации Kerberos

  Часть отказов pre-auth, включая 0x18, регистрируется через 4771 вместо 4768; проверить точный Status.

• Windows Security 4769 — запрос билета службы Kerberos

  После успешного TGT смотреть запрос к службе; свежий TGT не обязателен перед каждым TGS.

• Не удаётся войти: маршрут проверки AD и Keycloak

  Если этап отказа неясен, выбрать маршрут по фактическому протоколу и источнику; все ветви не обязательны для одного входа.