Справочник Event ID Windows

Клиент не достучался до \\domain\SYSVOL. Причины: неверный DNS, застрявшая репликация SYSVOL, права NTFS.

Большая часть политики применилась, а отдельная часть (например Drive Maps или скрипты) — нет. gpresult покажет какая.

Кто-то очистил журнал безопасности. В нормальной среде это почти никогда не легитимно.

Настройки Sites & Services не позволяют построить маршрут репликации: сайт без Site Link или подсеть без привязки.

DC получил обновление объекта, который у остальных уже удалён — признак, что DC был отключён дольше Tombstone Lifetime.

DC попытался реплицировать объект, уже удалённый в другом месте. AD останавливает репликацию с этим партнёром. Обычная причина: DC был отключён дольше Tombstone Lifetime (180 дней).

DC пересёк Tombstone Lifetime, поэтому репликация полностью заблокирована.

Клиент подключается к LDAP без подписи/шифрования — пароль идёт по сети открыто. Перед включением LDAP Signing нужно найти всех таких клиентов.

Рабочая станция не может подтвердить себя перед DC. Знакомая формулировка: «Доверительные отношения между этой рабочей станцией и доменом нарушены».

Кто-то успешно вошёл. Поле Logon Type показывает как: 2 — локально, 3 — по сети (шара), 10 — RDP, 5 — служба.

Попытка входа не удалась. Поля Status/Sub Status объясняют причину: 0xC000006A — неверный пароль, 0xC0000064 — пользователя нет, 0xC0000234 — учётка заблокирована.

Пишется вместе с 4624 и показывает, в каких группах состоял пользователь в момент входа. Так сразу видно, что вошёл кто-то с правами Domain Admins.

Сессия закрыта. Нужен в основном чтобы посчитать длительность сессии в паре с 4624 — но не у каждого 4624 есть свой 4634.

Пользователь запустил что-то под другой учёткой. Классический признак ручного бокового перемещения.

Подробное событие. Если в Properties есть GUID DS-Replication-Get-Changes-All, а учётка не является DC — это DCSync.

Вошедшая учётка получила чувствительные привилегии (SeDebug, SeBackup, SeTakeOwnership). Почти всегда сопровождает вход администратора.

Планировщик — популярный способ закрепления: задачи переживают перезагрузку и выглядят безобидно.

Кто-то изменил, что именно попадает в журнал. Атакующие выключают аудит перед основным действием — поэтому событие критическое.

Создан новый пользователь. После взлома это один из первых шагов атакующего для закрепления.

Смена пароля со знанием старого — в отличие от 4724, где админ сбрасывает пароль.

Админ или helpdesk сбросил пароль пользователя. Против привилегированной учётки — повод расследовать.

Пользователь удалён. Удаление обычно ошибка — правильнее Disable. Восстановить можно из AD Recycle Bin, если он был включён заранее.

Кто-то получил права через глобальную группу. Для Domain Admins / Enterprise Admins это тревога первого уровня.

Обратное к 4728. Важно в двух случаях: увольнение сотрудника или злоумышленник, заметающий следы после использования прав.

Добавление в локальную группу Administrators на сервере или ПК — тихий способ получить контроль, не трогая Domain Admins.

Пара к 4732. Domain Local группы обычно и держат реальные права на ресурсы (шары, принтеры).

Изменены атрибуты учётки: UAC flags, SPN, «пароль не истекает», шифрование. Появление SPN у обычной учётки — красный флаг (Kerberoasting).

Изменение политики уровня домена: длина пароля, политика блокировки, срок действия. Затрагивает всех сразу.

Учётка превысила лимит неверных паролей и заблокирована. Событие всегда есть на PDC Emulator, поле Caller Computer Name указывает источник.

Универсальные группы включают Enterprise Admins и Schema Admins — самые сильные права в лесу.

Пара к 4756. В контексте атаки — зачистка следов после использования прав уровня леса.

Кто-то вручную снял блокировку. Важно знать кто — особенно для привилегированной учётки.

Начало аутентификации Kerberos. Важно поле Ticket Encryption Type: 0x17 (RC4) у современной учётки может означать downgrade или AS-REP Roasting.

Пользователь запросил билет к сервису. Много запросов с RC4 (0x17) от одного пользователя к разным сервисам — признак Kerberoasting.

Существующий билет продлён без повторного ввода пароля. Совершенно нормально при долгих сессиях.

Запрос TGT отклонён. Код 0x18 — неверный пароль, 0x12 — учётка отключена/заблокирована/истекла, 0x25 — расхождение часов больше 5 минут.

DC проверил пароль по NTLM. Microsoft сворачивает NTLM — каждое 4776 сегодня повод спросить: кто ещё им пользуется и почему.

Кто-то запросил сертификат у сервера CA (AD CS). Само по себе нормально — но именно здесь начинается атака ESC1: запрос с чужим именем (SAN).

Сертификат выдан. Если он выписан на имя админа кому-то другому — злоумышленник сможет войти как админ (ESC1), даже после смены пароля.

Механизм оповещения, когда член заданной вами группы (например Domain Admins) входит на любой сервер.

Фиксирует изменение атрибута объекта AD. При правке GPO меняются gPCFileSysPath/versionNumber — так видно, кто менял политику.

Пароль учётной записи компьютера не совпадает. Бывает после отката из старого снимка или при дубликате имени.

Компьютер обращается к домену, но его учётки в AD нет — например, её удалили или машина вне домена.

В системе зарегистрирована новая служба. PsExec, Cobalt Strike и многие инструменты бокового перемещения оставляют след именно здесь.