วิธีตีความ Windows Security Event ID 4688 ในการสืบสวน

ในการตีความรหัสเหตุการณ์ 4688 สิ่งสำคัญคือต้องเข้าใจฟิลด์ต่างๆ ที่รวมอยู่ในบันทึกเหตุการณ์ ฟิลด์เหล่านี้สามารถใช้เพื่อตรวจหาสิ่งผิดปกติและติดตามต้นทางของกระบวนการกลับไปยังต้นทาง

• Creator Subject: ฟิลด์นี้ให้ข้อมูลเกี่ยวกับบัญชีผู้ใช้ที่ร้องขอการสร้างกระบวนการใหม่ ฟิลด์นี้ให้บริบทและสามารถช่วยให้ผู้ตรวจสอบทางนิติวิทยาศาสตร์ระบุความผิดปกติได้ ประกอบด้วยฟิลด์ย่อยหลายฟิลด์ ได้แก่:

• • ตัวระบุความปลอดภัย (SID)” ตาม ไมโครซอฟท์SID เป็นค่าเฉพาะที่ใช้ระบุผู้ดูแลทรัพย์สิน ใช้เพื่อระบุผู้ใช้ในเครื่อง Windows
  • ชื่อบัญชี: SID ได้รับการแก้ไขให้แสดงชื่อบัญชีที่เริ่มต้นการสร้างกระบวนการใหม่
  • โดเมนบัญชี: โดเมนของคอมพิวเตอร์
  • ID การเข้าสู่ระบบ: ค่าเลขฐานสิบหกที่ไม่ซ้ำกันซึ่งใช้เพื่อระบุเซสชันการเข้าสู่ระบบของผู้ใช้ สามารถใช้เพื่อเชื่อมโยงเหตุการณ์ที่มี ID เหตุการณ์เดียวกัน

• เรื่องเป้าหมาย: ฟิลด์นี้ให้ข้อมูลเกี่ยวกับบัญชีผู้ใช้ที่กระบวนการทำงานภายใต้ หัวข้อที่กล่าวถึงในเหตุการณ์การสร้างกระบวนการอาจแตกต่างจากหัวข้อที่กล่าวถึงในเหตุการณ์การยุติกระบวนการในบางกรณี ดังนั้น เมื่อผู้สร้างและเป้าหมายไม่ได้เข้าสู่ระบบเดียวกัน สิ่งสำคัญคือต้องรวมหัวเรื่องเป้าหมาย แม้ว่าทั้งคู่จะอ้างอิง ID กระบวนการเดียวกันก็ตาม ช่องย่อยจะเหมือนกับช่องของหัวเรื่องผู้สร้างด้านบน
• ข้อมูลกระบวนการ: ฟิลด์นี้ให้ข้อมูลโดยละเอียดเกี่ยวกับกระบวนการที่สร้างขึ้น ประกอบด้วยฟิลด์ย่อยหลายฟิลด์ ได้แก่:

• • รหัสกระบวนการใหม่ (PID): ค่าเลขฐานสิบหกเฉพาะที่กำหนดให้กับกระบวนการใหม่ ระบบปฏิบัติการ Windows ใช้เพื่อติดตามกระบวนการที่ใช้งานอยู่
  • ชื่อกระบวนการใหม่: เส้นทางแบบเต็มและชื่อของไฟล์เรียกทำงานที่ถูกเปิดใช้เพื่อสร้างกระบวนการใหม่
  • ประเภทการประเมินโทเค็น: การประเมินโทเค็นเป็นกลไกการรักษาความปลอดภัยที่ใช้โดย Windows เพื่อระบุว่าบัญชีผู้ใช้ได้รับอนุญาตให้ดำเนินการบางอย่างหรือไม่ ประเภทของโทเค็นที่กระบวนการจะใช้เพื่อขอสิทธิ์ขั้นสูงเรียกว่า "ประเภทการประเมินโทเค็น" มีสามค่าที่เป็นไปได้สำหรับฟิลด์นี้ ประเภท 1 (%%1936) แสดงว่ากระบวนการกำลังใช้โทเค็นผู้ใช้เริ่มต้นและไม่ได้ร้องขอการอนุญาตพิเศษใดๆ สำหรับฟิลด์นี้ เป็นค่าที่พบบ่อยที่สุด ประเภท 2 (%%1937) แสดงว่ากระบวนการร้องขอสิทธิ์ผู้ดูแลระบบแบบเต็มเพื่อเรียกใช้และประสบความสำเร็จในการได้รับ เมื่อผู้ใช้เรียกใช้แอปพลิเคชันหรือกระบวนการในฐานะผู้ดูแลระบบ แอปพลิเคชันนั้นจะถูกเปิดใช้งาน ประเภทที่ 3 (%%1938) ระบุว่ากระบวนการได้รับสิทธิ์ที่จำเป็นในการดำเนินการตามที่ร้องขอเท่านั้น แม้ว่าจะมีการร้องขอสิทธิ์ขั้นสูงก็ตาม

• • ป้ายกำกับบังคับ: ป้ายกำกับความสมบูรณ์ที่กำหนดให้กับกระบวนการ 
  • รหัสกระบวนการของผู้สร้าง: ค่าเลขฐานสิบหกที่ไม่ซ้ำกันที่กำหนดให้กับกระบวนการที่เริ่มต้นกระบวนการใหม่ 
  • ชื่อกระบวนการผู้สร้าง: เส้นทางแบบเต็มและชื่อของกระบวนการที่สร้างกระบวนการใหม่
  • Process Command Line: ให้รายละเอียดเกี่ยวกับอาร์กิวเมนต์ที่ส่งผ่านไปยังคำสั่งเพื่อเริ่มต้นกระบวนการใหม่ ประกอบด้วยฟิลด์ย่อยหลายฟิลด์รวมถึงไดเร็กทอรีปัจจุบันและแฮช