מדריך Event ID של Windows

התחנה לא הגיעה ל־\\domain\SYSVOL. סיבות: DNS שגוי, רפליקציית SYSVOL תקועה, הרשאות NTFS.

רוב המדיניות הוחלה, אבל חלק (למשל Drive Maps או Scripts) נכשל. gpresult יראה איזה חלק.

מישהו מחק את יומן האבטחה. בסביבה מסודרת זה כמעט אף פעם לא לגיטימי.

ההגדרות של Sites & Services לא מאפשרות לבנות מסלול רפליקציה: אתר בלי Site Link, או תת־רשת לא משויכת.

DC קיבל עדכון לאובייקט שכבר נמחק אצל האחרים — סימן ש־DC היה מנותק מעבר ל־Tombstone Lifetime.

DC ניסה לשכפל אובייקט שכבר נמחק במקום אחר. AD עוצר את הרפליקציה מהשותף הזה כדי לא להפיץ נתונים ישנים. הסיבה הרגילה: DC היה מנותק יותר מ־Tombstone Lifetime (180 יום).

ה־DC חצה את ה־Tombstone Lifetime ולכן הרפליקציה נחסמה לגמרי.

לקוח מתחבר ל־LDAP בלי חתימה/הצפנה — הסיסמה עוברת ברשת בצורה חשופה. לפני שמפעילים LDAP Signing חובה למצוא את כל הלקוחות האלה.

התחנה לא מצליחה לאמת את עצמה מול ה־DC. הביטוי המוכר: "The trust relationship between this workstation and the primary domain failed".

מישהו התחבר בהצלחה. השדה Logon Type מסביר איך: 2 = מקומי, 3 = רשת (שיתוף), 10 = RDP, 5 = שירות.

ניסיון התחברות נכשל. השדה Status/Sub Status אומר למה: 0xC000006A = סיסמה שגויה, 0xC0000064 = משתמש לא קיים, 0xC0000234 = חשבון נעול.

נרשם יחד עם 4624 ומראה לאילו קבוצות המשתמש שייך ברגע ההתחברות. כך רואים מיד אם נכנס מישהו עם הרשאות Domain Admins.

סגירת סשן. משמש בעיקר לחישוב משך הסשן מול 4624 — לא כל 4624 מקבל 4634 תואם.

משתמש הריץ משהו תחת חשבון אחר. זהו הסימן הקלאסי ל־Lateral Movement ידני.

אירוע עשיר בפרטים. אם ה־Properties כוללים את ה־GUID של DS-Replication-Get-Changes-All והחשבון אינו DC — זהו DCSync.

החשבון שהתחבר קיבל הרשאות רגישות (SeDebug, SeBackup, SeTakeOwnership). כמעט תמיד מלווה התחברות של אדמין.

משימות מתוזמנות הן שיטת Persistence פופולרית: הן שורדות אתחול ונראות תמימות.

מישהו שינה מה נרשם ביומן. תוקפים מכבים ביקורת לפני הפעולה האמיתית — לכן זה אירוע קריטי.

נוצר משתמש חדש. אחרי חדירה זה אחד הצעדים הראשונים של תוקף שרוצה להישאר.

שינוי סיסמה שבוצע עם ידיעת הסיסמה הישנה — בניגוד ל־4724 שהוא איפוס בידי אדמין.

אדמין או Helpdesk איפס סיסמה של משתמש. מול חשבון פריבילגי — נקודה לחקירה.

משתמש נמחק. מחיקה היא לרוב טעות — עדיף Disable. שחזור אפשרי מ־AD Recycle Bin אם הופעל מראש.

מישהו קיבל הרשאות דרך קבוצה גלובלית. עבור Domain Admins / Enterprise Admins זו התראה מדרגה ראשונה.

ההפך מ־4728. חשוב בעיקר בשתי סיטואציות: עזיבת עובד, או תוקף שמנקה עקבות אחרי שהשתמש בהרשאה.

הוספה לקבוצת Administrators מקומית על שרת או תחנה — דרך שקטה מאוד להשיג שליטה בלי לגעת ב־Domain Admins.

זוג ל־4732. קבוצות Domain Local הן אלה שמחזיקות הרשאות בפועל על משאבים (שיתופים, מדפסות).

שינוי במאפייני חשבון: UAC flags, SPN, סיסמה שלא פגה, הצפנה. שינוי SPN על חשבון רגיל הוא דגל אדום (Kerberoasting).

שינוי במדיניות ברמת הדומיין: אורך סיסמה, מדיניות נעילה, גיל סיסמה. שינוי כזה משפיע על כולם.

החשבון עבר את מכסת הסיסמאות השגויות וננעל. האירוע נרשם תמיד גם ב־PDC Emulator, ושדה Caller Computer Name מצביע על המקור.

קבוצות אוניברסליות כוללות את Enterprise Admins ו־Schema Admins — ההרשאות החזקות ביותר ביער.

זוג ל־4756. בהקשר תקיפה: ניקוי עקבות אחרי שימוש בהרשאות יער.

מישהו שחרר חשבון נעול ידנית. חשוב לדעת מי — במיוחד אם מדובר בחשבון פריבילגי.

תחילת אימות Kerberos. שדה Ticket Encryption Type חשוב: 0x17 (RC4) על חשבון מודרני יכול להעיד על Downgrade או על AS-REP Roasting.

משתמש ביקש כרטיס לשירות מסוים. הרבה בקשות עם RC4 (0x17) ממשתמש אחד לשירותים רבים = ניסיון Kerberoasting.

כרטיס קיים הוארך בלי בקשה חדשה של סיסמה. תקין לחלוטין בסשנים ארוכים.

בקשת TGT נדחתה. קוד 0x18 = סיסמה שגויה, 0x12 = חשבון מושבת/נעול/פג, 0x25 = שעון סטייה גדולה מ־5 דקות.

ה־DC אימת סיסמה בפרוטוקול NTLM. מיקרוסופט מוציאה את NTLM משימוש — כל 4776 היום הוא נקודה לבדיקה: מי עדיין משתמש ולמה.

מישהו ביקש תעודה משרת ה־CA (AD CS). לבד זה תקין — אבל זו נקודת הכניסה של מתקפות ESC1: בקשה עם שם של משתמש אחר (SAN).

התעודה הונפקה. אם הונפקה על שם אדמין לאדם אחר — התוקף יכול להתחבר כאדמין בעזרתה (ESC1) גם אחרי החלפת סיסמה.

מנגנון שמאפשר להתריע כשחבר בקבוצה שהגדרת (למשל Domain Admins) מתחבר לשרת כלשהו.

מתעד שינוי מאפיין באובייקט AD. כשעורכים GPO משתנה gPCFileSysPath/versionNumber — כך רואים מי שינה מדיניות.

סיסמת חשבון המחשב אינה תואמת. קורה אחרי שחזור Snapshot ישן או כשמחשב היה כבוי מעל 30 יום עם שכפול שם.

מחשב מנסה לדבר עם הדומיין אבל אין לו חשבון ב־AD — למשל אחרי שמחקו אותו או שהוא מחוץ לדומיין.

שירות חדש נרשם במערכת. PsExec, Cobalt Strike וכלי Lateral Movement רבים משאירים כאן עקבות.