Windows Security 4769 — запрос билета службы Kerberos

Поля и область применения

Примеры записей

Данные в примерах условные. Состав полей зависит от версии и настроек источника.

4769 v0: principal службы не найден

Фрагмент журнала. Сокращённый фрагмент документированного XML. Все имена, SID, адреса и время вымышлены; это не полный экспорт. Необязательные/добавочные поля опущены, отсутствие поля не означает ноль.

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"/>
    <EventID>4769</EventID><Version>0</Version>
    <TimeCreated SystemTime="2026-11-04T07:01:30.000Z"/><EventRecordID>7004</EventRecordID>
    <Channel>Security</Channel><Computer>dc-01.example.test</Computer>
  </System>
  <EventData>
    <Data Name="TargetUserName">demo.user@EXAMPLE.TEST</Data>
    <Data Name="TargetDomainName">EXAMPLE.TEST</Data>
    <Data Name="ServiceName">missing-service</Data>
    <Data Name="ServiceSid">S-1-0-0</Data>
    <Data Name="TicketOptions">0x40810000</Data>
    <Data Name="TicketEncryptionType">0xffffffff</Data>
    <Data Name="IpAddress">::ffff:192.0.2.30</Data>
    <Data Name="IpPort">52002</Data>
    <Data Name="Status">0x7</Data>
    <Data Name="LogonGuid">{00000000-0000-0000-0000-000000000000}</Data>
    <Data Name="TransmittedServices">-</Data>
  </EventData>
</Event>

4769 v2: успешная выдача, возможный ключ связи

Фрагмент журнала. Сокращённый фрагмент документированного XML. Все имена, SID, адреса и время вымышлены; это не полный экспорт. Необязательные/добавочные поля опущены, отсутствие поля не означает ноль.

<Event xmlns="http://schemas.microsoft.com/win/2004/08/events/event">
  <System>
    <Provider Name="Microsoft-Windows-Security-Auditing"/>
    <EventID>4769</EventID><Version>2</Version>
    <TimeCreated SystemTime="2026-11-04T07:02:00.000Z"/><EventRecordID>7005</EventRecordID>
    <Channel>Security</Channel><Computer>dc-01.example.test</Computer>
  </System>
  <EventData>
    <Data Name="TargetUserName">demo.user@EXAMPLE.TEST</Data>
    <Data Name="TargetDomainName">EXAMPLE.TEST</Data>
    <Data Name="ServiceName">app-svc</Data>
    <Data Name="ServiceSid">S-1-5-21-111-222-333-2101</Data>
    <Data Name="TicketOptions">0x40810000</Data>
    <Data Name="TicketEncryptionType">0x12</Data>
    <Data Name="IpAddress">::ffff:192.0.2.30</Data>
    <Data Name="IpPort">52003</Data>
    <Data Name="Status">0x0</Data>
    <Data Name="LogonGuid">{11111111-2222-4333-8444-555555555555}</Data>
    <Data Name="SessionKeyEncryptionType">0x12</Data>
  </EventData>
</Event>

Команды и способы проверки

Укажите свой узел, путь к журналу и временной интервал. Требуемая среда указана рядом с командой.

PowerShell 7.5 / Windows: чтение разрешённой локальной копии EVTX. Заменить путь и учебное UTC-окно.

$referenceStartUtc = [DateTimeOffset]::Parse('2026-11-04T06:55:00Z').UtcDateTime
$referenceEndUtc = [DateTimeOffset]::Parse('2026-11-04T07:10:00Z').UtcDateTime
Get-WinEvent -FilterHashtable @{
  Path='C:\Evidence\Security.evtx'
  ProviderName='Microsoft-Windows-Security-Auditing'
  Id=4769
  StartTime=$referenceStartUtc
  EndTime=$referenceEndUtc
} | ForEach-Object {
  $referenceEvent = $_
  [xml]$referenceXml = $referenceEvent.ToXml()
  $referenceNs = [System.Xml.XmlNamespaceManager]::new($referenceXml.NameTable)
  $referenceNs.AddNamespace('e','http://schemas.microsoft.com/win/2004/08/events/event')
  $referenceData = @{}
  foreach ($referenceNode in $referenceXml.SelectNodes('/e:Event/e:EventData/e:Data',$referenceNs)) {
    $referenceData[$referenceNode.GetAttribute('Name')] = $referenceNode.InnerText
  }
  [pscustomobject]@{
    TimeCreatedUtc = $referenceEvent.TimeCreated.ToUniversalTime().ToString('o')
    Computer = $referenceEvent.MachineName
    Provider = $referenceEvent.ProviderName
    EventId = $referenceEvent.Id
    RecordId = $referenceEvent.RecordId
    Version = $referenceXml.SelectSingleNode('/e:Event/e:System/e:Version',$referenceNs).InnerText
    TargetUserName = $referenceData['TargetUserName']
    TargetDomainName = $referenceData['TargetDomainName']
    TargetSid = $referenceData['TargetSid']
    ServiceName = $referenceData['ServiceName']
    Status = $referenceData['Status']
    IpAddress = $referenceData['IpAddress']
    PreAuthType = $referenceData['PreAuthType']
    LogonGuid = $referenceData['LogonGuid']
    TicketEncryptionType = $referenceData['TicketEncryptionType']
    SessionKeyEncryptionType = $referenceData['SessionKeyEncryptionType']
    SubjectUserSid = $referenceData['SubjectUserSid']
    SubjectUserName = $referenceData['SubjectUserName']
    SubjectLogonId = $referenceData['SubjectLogonId']
    CallerComputerName = $referenceData['CallerComputerName']
  }
}

Первоисточники

• Microsoft: событие 4769 — запрос билета службы
• Microsoft: Get-WinEvent
• Microsoft: Audit Kerberos Service Ticket Operations
• IETF RFC 4120: Kerberos V5

Связанные материалы

• Windows Security 4624 — создан успешный сеанс входа

  При наличии ненулевого LogonGuid сопоставить сеанс на целевом узле; нулевой GUID не служит ключом корреляции.

• Не удаётся войти: маршрут проверки AD и Keycloak

  Если этап отказа неясен, выбрать маршрут по фактическому протоколу и источнику; все ветви не обязательны для одного входа.