IBCOURSES / СПРАВОЧНИК ИБ

UserGate: кто изменил правило или настройки

К ответу ↓

Начните с журнала событий конкретного NGFW. Отдельно подтвердите административный вход, событие изменения нужного объекта, фактические изменения конфигурации и применение настроек.

Например
Материалов с пояснениями: 94 · Записей реестров: 11 678

Уточнить поиск

События и журналы

Найдено: 84
Инструкция по проверке
UserGate: кто изменил правило или настройки

Начните с журнала событий конкретного NGFW. Отдельно подтвердите административный вход, событие изменения нужного объекта, фактические изменения конфигурации и применение настроек.

UserGate NGFW 7.0.1
Инструкция по проверке
Windows Security 4625 — неудачная попытка входа

Зарегистрирована неудачная попытка входа. Причину уточняют по кодам результата, типу входа и контексту запроса.

Security · Security-Auditing
Инструкция по проверке
Linux Audit USER_AUTH — попытка аутентификации

Приложение сообщило о попытке аутентификации. Это тип записи Linux Audit, а не универсальный Event ID Linux.

Linux Audit · userspace
Инструкция по проверке
Кто создал учётную запись

Сначала выберите хранилище учётной записи. Затем найдите операцию и разделите технического инициатора, созданный объект и человека.

Windows / AD / Linux / IdP
Обзор источника
Альт: источники аудита и поиск событий

Альт — семейство российских ОС на базе Linux. Здесь — паспорт чтения аудита: настройки, журналы и поиск USER_AUTH.

Альт Рабочая станция 11.1
Инструкция по проверке
UserGate: где искать подключения по VPN

Найдите сессию или отказ в журнале шлюза. Отличайте подключение, разрыв, ошибку и изменение правила.

UserGate NGFW 7.5 · VPN
Инструкция по проверке
Kubernetes: кто отправил запрос на создание Pod

API audit помогает установить инициатора запроса. Для вывода о создании нужны объект, стадия и результат.

API Audit · audit.k8s.io/v1
Инструкция по проверке
Windows Security 4720 — создана учётная запись

Создан новый пользовательский объект. Субъект запроса и новая учётная запись указаны в разных полях; локальную и доменную область определяют по роли узла и TargetDomainName.

Схема события 0
Инструкция по проверке
Windows Security 4732 — участник добавлен в локальную группу безопасности

В локальную группу безопасности добавлен участник. Для каждого участника формируется отдельная запись; название группы само по себе не показывает её эффективные полномочия.

Схема события 0
Инструкция по проверке
Windows Security 5136 — изменён атрибут объекта AD

Изменён атрибут объекта Active Directory. Обычно удаление прежнего и добавление нового значения отражаются отдельными 5136; их нужно сопоставлять, сохраняя тип операции.

Схема события 0
Инструкция по проверке
Windows Security 4624 — создан успешный сеанс входа

На целевом компьютере создан сеанс входа. Subject относится к сообщившему/служебному контексту, Target — к новому сеансу; дальнейшие действия подтверждаются отдельно.

Схема события 2
Инструкция по проверке
Windows Security 4688 — создан новый процесс

Зарегистрирован запуск процесса. Командная строка требует отдельной настройки аудита; версия события влияет на поля инициатора, целевой учётной записи и родительского процесса.

Схема события 2
Инструкция по проверке
Windows Security 4698 — создано задание планировщика

Создано задание планировщика. Событие показывает факт создания и содержимое задания, но выполнение и его результат требуют отдельных свидетельств.

Схемы события 0 / 1
Инструкция по проверке
Windows Security 4663 — использовано право доступа к объекту

Зафиксировано использование конкретного права над объектом. В отличие от запроса handle это свидетельство применения права; вид операции определяется AccessMask и типом объекта.

Схема события 1
Инструкция по проверке
Windows Security 4657 — изменено значение реестра

Изменено значение реестра. Имя ключа и имя значения различаются; событие не является универсальной записью любого изменения ключа.

Схема события 0
Инструкция по проверке
Windows Eventlog 1102 — очищен журнал Security

Очищен журнал Security. Поставщик этого события — Microsoft-Windows-Eventlog; субъект находится в UserData/LogFileCleared, а не в обычном EventData.

Схема события 0
Инструкция по проверке
Sysmon Event 1 — создание процесса

Sysmon регистрирует расширенный контекст создания процесса. GUID процесса помогает связям, командная строка — интерпретации; версия и конфигурация Sysmon определяют доступную телеметрию.

Sysmon 15.22
Инструкция по проверке
PowerShell 7: 4104 — Script Block Logging

При включённом Script Block Logging PowerShell пишет содержимое обрабатываемых script blocks. Для PowerShell 7 используется PowerShellCore/Operational; Windows PowerShell 5.1 рассматривается отдельно.

PowerShell 7.5 · схема события 1
Обзор источника
systemd journal — поиск по службе, процессу и загрузке

Journal хранит сообщения и структурированные поля. Пользовательские поля отличаются от добавленных journald; доступность и хранение определяются конкретной системой.

systemd 262
Инструкция по проверке
Linux Audit EXECVE — аргументы запуска программы

Соберите SYSCALL, EXECVE и соседние записи одного события. Аргументы, контекст входа и результат exec — разные сведения; одной строки EXECVE недостаточно.

Linux Audit · Linux 6.12 / x86-64
Инструкция по проверке
Keycloak: как разобрать LOGIN и LOGIN_ERROR в нужном realm

Сначала проверьте сохранение событий в нужном realm. LOGIN/LOGIN_ERROR описывают этап входа в IdP; ответ API, серверный обработчик событий (event listener) и административный аудит — разные источники.

Документация latest
Инструкция по проверке
Keycloak — аудит административных изменений

Административный аудит описывает REST-операции управления realm. Он включается отдельно от пользовательских событий; representation зависит от настройки.

Документация latest
Инструкция по проверке
Vault audit — запрос и ответ на доступ к секрету

Записи аудита описывают API-запросы и ответы Vault. Их связывают по request.id; значения чувствительных полей могут быть преобразованы аудитом.

Онлайн-документация продукта
Обзор источника
sudo — кто запросил выполнение от другого пользователя

Журнал sudo различает пользователя, вызвавшего sudo, и пользователя предполагаемого запуска команды (runas). Сообщение о принятой команде само по себе не содержит полного результата её работы.

sudo · журнал событий
Инструкция по проверке
Intune auditEvent — изменения управления устройствами

Аудит Intune описывает административную активность и затронутые ресурсы. Actor, результат операции и изменённые свойства помогают исследовать изменение управления парком.

Microsoft Graph v1.0
Обзор источника
Astra Linux — карта системных журналов и аудита

В документации разделены системная регистрация и аудит безопасности auditd/PARSEC. Для рабочего поиска нужен паспорт установленной редакции, профиля и фактической конфигурации.

Документация latest
Инструкция по проверке
Keycloak / OIDC: на каком этапе отказал вход

Отделите проверку URI перенаправления, аутентификацию клиента и выдачу или обновление токена. Одинаковое сообщение приложения не устанавливает этап отказа или ошибку пароля пользователя.

Keycloak 26.8.1
Инструкция по проверке
Keycloak / SAML: отказ при ответе внешнего IdP

Для Keycloak как брокера внешнего SAML IdP различайте ошибки разбора ответа, проверки назначения (Destination), подписи и условий утверждения (assertion). Общее сообщение об ошибке не определяет единственную причину.

Keycloak 26.8.1
Инструкция по проверке
Windows Security 4768 — запрос TGT в Kerberos

4768 показывает выдачу TGT или часть отказов на DC. Для причин сначала прочитайте Status и версию XML; успех выдачи TGT не подтверждает вход в приложение.

XML · схемы события 0 / 2
Инструкция по проверке
Windows Security 4769 — запрос билета службы Kerberos

4769 описывает запрос TGS на DC. Status показывает результат выдачи билета; отдельные данные приложения нужны, чтобы установить фактический доступ.

XML · схемы события 0 / 2
Инструкция по проверке

UserGate: кто изменил правило или настройки

Начните с журнала событий конкретного NGFW. Отдельно подтвердите административный вход, событие изменения нужного объекта, фактические изменения конфигурации и применение настроек.

1. Паспорт применимости

Зафиксируйте модель или виртуальную платформу, имя узла, установленную версию и сборку, кластерную роль, часы и точку чтения. Описание относится к UserGate NGFW 7.0.1. Для другой ветки сверяйте меню и формат журналов с её руководством. Статья журнала событий опубликована также для прежних NGFW, что не превращает её в общий контракт всех продуктов UserGate. Установите, читается локальный журнал или данные, обработанные LogAn; версию LogAn не подставляйте вместо версии NGFW.

2. Найдите административное событие

В журнале событий начните с периода вокруг предполагаемого изменения. Затем уточните компоненту, важность и тип, используя доступные значения интерфейса. Не ограничивайте поиск только известным именем администратора: оно могло быть определено неверно. Откройте подробность кнопкой Показать. Вход в веб-консоль и изменение объекта — самостоятельные события; соседство по времени ещё не устанавливает связь. Запишите идентификатор или доступное устойчивое описание объекта.

3. Сохраните отбор и исходные данные

Выгрузите отфильтрованные строки в CSV и сохраните вместе с условиями поиска, узлом и временем выгрузки. Набор видимых столбцов выбирается в GUI, поэтому не считайте отсутствующую колонку отсутствующим исходным значением. Для сложного поиска сначала настройте базовый фильтр и посмотрите автоматически построенную строку: имена полей зависят от журнала. Настройка новой отправки Syslog/SFTP сюда не входит. Если используется уже настроенная доставка, отдельно установите её формат и место хранения.

4. Прочитайте пример без подмены объекта

В JSON-иллюстрации указан документированный тип logexport_rule_updated и объект LAB-EXPORT. Это пример изменения правила экспорта журналов, а не доказательство изменения разрешающего firewall-правила. Поля user и ip_address дают технический контекст; общая учётная запись или промежуточный адрес требуют дополнительной атрибуции. Сокращённые attributes не содержат полного diff. Запись с важностью info сама по себе не утверждает успешного применения всех настроек на всём кластере.

5. Проверьте изменение и результат отдельно

Сопоставьте найденный объект с доступными состояниями конфигурации до и после, заявкой на изменение и историей административного доступа. Укажите, есть ли реальный diff или только текст события. Для вывода о применении нужны соответствующий результат операции и состояние нужного узла; для влияния на трафик — отдельные наблюдения работы правила. Не превращайте найденный вход в авторство всех последующих действий. Итог оформите четырьмя утверждениями: кто вошёл, какой объект затронут, что изменилось и что применилось.

6. Если строки нет

Проверьте узел, период, часовой пояс, права и оставшиеся фильтры. Ищите объект шире, затем вновь уточняйте инициатора. Сверьте локальное представление с доступной копией на LogAn или получателе: разные места хранения нельзя считать взаимозаменяемыми без проверки доставки. Проверьте полноту выгрузки и то, что событие относится именно к конфигурации, а не срабатыванию правила трафика. Если diff, нужный период или журнал недоступны, запишите конкретный разрыв наблюдения; отсутствие строки не доказывает отсутствия изменения.

Поля и область применения

Исходное полеСмысл и ограничения
GUI: диапазон датНачальное условие поиска; зафиксировать часовой пояс выбранного интерфейса.
GUI: компонента / важность / тип событияДокументированные условия отбора; конкретные значения выбирать из своего журнала.
JSON: timestamp / nodeВремя получения и узел генерации из документированного JSON-формата; не заголовки CSV.
JSON: user / ip_addressТехническая учётная запись и наблюдаемый адрес; не доказанная личность оператора.
JSON: event_typeТип действия; пример logexport_rule_updated касается правила экспорта, не любого firewall-правила.
JSON: attributesПодробности конкретного события; объект и доступные изменения читать из фактического содержимого.
JSON: event_origin / event_component / event_severityМодуль, компонент и важность; не извлекать успешность применения из уровня info.

Примеры записей

Данные в примерах условные. Состав полей зависит от версии и настроек источника.

Пример фрагмента JSON: изменено правило экспорта журналов

Фрагмент журнала. Сконструированный сокращённый фрагмент по полям приложения к руководству NGFW 7.0.1. Не запись испытанного устройства и не CSV. Тип logexport_rule_updated документирован для правила экспорта; он не переименовывается в изменение firewall. Другие поля и детали опущены.

{
  "user": "demo-admin",
  "timestamp": "2026-11-03T10:00:00Z",
  "ip_address": "192.0.2.10",
  "node": "demo-ngfw-01",
  "event_type": "logexport_rule_updated",
  "event_severity": "info",
  "attributes": {
    "rule": {
      "id": "11111111-1111-4111-8111-111111111111",
      "name": "LAB-EXPORT"
    }
  }
}

Авторская заметка о проверке, отдельная от JSON события

Поясняющая схема. Подписи придуманы для заметки аналитика; это не поля UserGate и не результат выполнения.

Узел расследования: demo-ngfw-01
Найденный объект: правило экспорта LAB-EXPORT
Технический инициатор события: demo-admin
Связанный вход администратора: ещё не сопоставлен
Полный diff до/после: не получен
Успешное применение на нужном узле: отдельно не подтверждено
Человек за учётной записью: не установлен

Команды и способы проверки

Укажите свой узел, путь к журналу и временной интервал. Требуемая среда указана рядом с командой.

UserGate NGFW 7.0.1 GUI, маршрут чтения

Журналы → Журнал событий → выбрать диапазон дат → уточнить компоненту, важность и тип доступными фильтрами → выбрать строку → Показать → Экспортировать в CSV. Сохранить условия отбора и часовой пояс рядом с файлом.

Первоисточники

Событие изменения и вход администратора не доказывают полный состав изменений конфигурации, успешное применение и личность человека за общей учётной записью.

Связанные материалы

Как пользоваться техническим справочником

Найдите порт, код ошибки, событие или источник журнала. Уточните протокол и систему, затем сверяйте значение, поля, примеры и первоисточники. Назначение порта не определяет фактическую службу, а одна запись не доказывает инцидент.

Словарь терминов ИБ →Атлас компетенций ИБ →Обучение для SOC-аналитиков →
Материалы по разделам

Порты и службы

Коды и ошибки

События и журналы

Два ответа рядом

Сравнение источников

Сравнение показывает различия. События и поля разных систем не считаются эквивалентными.

Выберите службу

В списке — службы, доступные с текущими условиями. Число рядом — количество записей портов, а не программ на вашем узле.

Как искать в справочнике

Введите число, код, фрагмент сообщения или вопрос. Известный идентификатор поможет найти карточку; это не анализ самого инцидента.

  1. Введите номер, код, имя или фрагмент записи. Для портов можно использовать список: 80, 443, 8000–8010.
  2. Уточните поиск фильтрами. Все условия действуют одновременно. Числа в списках показывают, сколько материалов останется при выборе варианта.
  3. Службу выбирайте из каталога: поиск внутри списка помогает найти название, а кнопка «Выбрать» применяет его.
  4. Убирайте отдельные условия кнопкой × рядом с фильтром. «Сбросить фильтры» сохраняет текст поиска и текущий раздел.
  5. В карточке сверьте источник, версию и условия регистрации, затем откройте поля, примеры и первоисточник.

/ — перейти к поиску. Прямые ссылки открывают выбранную карточку в этом же справочнике.

Назначения портов и коды приведены по официальным реестрам. Версии, условия регистрации и ссылки на документацию указаны в карточках.

Избранное и недавние материалы хранятся в этом браузере. Запрос и фильтры сохраняются при возврате к выдаче и обновлении вкладки. Поиск работает локально.

Что есть в справочнике

От вопроса к свидетельствам: кто вошёл, что запустил, к каким данным обратился, что изменил и где искать следы.

Выберите область, чтобы посмотреть доступные источники и перейти к материалам.

Уточнить или исправить ответ

Скопируйте сообщение и отправьте его на mail@ibcourses.ru.