كيفية تفسير معرف حدث أمان Windows 4688 في تحقيق

لتفسير معرف الحدث 4688 ، من المهم فهم الحقول المختلفة المضمنة في سجل الأحداث. يمكن استخدام هذه الحقول لاكتشاف أي مخالفات وتتبع أصل العملية إلى مصدرها.

• موضوع المنشئ: يوفر هذا الحقل معلومات حول حساب المستخدم الذي طلب إنشاء عملية جديدة. يوفر هذا المجال السياق ويمكن أن يساعد المحققين الشرعيين في تحديد الحالات الشاذة. يشمل عدة حقول فرعية ، بما في ذلك:

• • معرف الأمان (SID) "وفقًا لـ مایکروسافت، معرف الأمان (SID) هو قيمة فريدة تُستخدم لتعريف وصي. يتم استخدامه لتحديد المستخدمين على جهاز Windows.
  • اسم الحساب: تم ​​تصميم SID لإظهار اسم الحساب الذي بدأ إنشاء العملية الجديدة.
  • مجال الحساب: المجال الذي ينتمي إليه الكمبيوتر.
  • معرف تسجيل الدخول: قيمة سداسية عشرية فريدة تُستخدم لتعريف جلسة تسجيل دخول المستخدم. يمكن استخدامه لربط الأحداث التي تحتوي على نفس معرف الحدث.

• الموضوع الهدف: يوفر هذا الحقل معلومات حول حساب المستخدم الذي تعمل العملية ضمنه. قد يكون الموضوع المذكور في حدث إنشاء العملية ، في بعض الظروف ، متميزًا عن الموضوع المذكور في حدث إنهاء العملية. لذلك ، عندما لا يكون للمنشئ والهدف نفس تسجيل الدخول ، فمن المهم تضمين الموضوع الهدف على الرغم من أنهما يشيران إلى نفس معرف العملية. الحقول الفرعية هي نفسها الخاصة بموضوع المنشئ أعلاه.
• معلومات العملية: يوفر هذا الحقل معلومات مفصلة حول العملية التي تم إنشاؤها. يشمل عدة حقول فرعية ، بما في ذلك:

• • معرف العملية الجديد (PID): قيمة سداسية عشرية فريدة يتم تعيينها للعملية الجديدة. يستخدمه نظام التشغيل Windows لتتبع العمليات النشطة.
  • اسم العملية الجديد: المسار الكامل واسم الملف القابل للتنفيذ الذي تم إطلاقه لإنشاء العملية الجديدة.
  • نوع تقييم الرمز المميز: تقييم الرمز المميز هو آلية أمان يستخدمها Windows لتحديد ما إذا كان حساب المستخدم مصرحًا له بتنفيذ إجراء معين. يُطلق على نوع الرمز المميز الذي ستستخدمه العملية لطلب امتيازات مرتفعة اسم "نوع التقييم المميز". هناك ثلاث قيم محتملة لهذا المجال. يشير النوع 1 (٪٪ 1936) إلى أن العملية تستخدم رمز المستخدم الافتراضي ولم تطلب أي أذونات خاصة. بالنسبة لهذا الحقل ، فهي القيمة الأكثر شيوعًا. يشير النوع 2 (٪٪ 1937) إلى أن العملية طلبت امتيازات المسؤول الكاملة للتشغيل ونجحت في الحصول عليها. عندما يقوم المستخدم بتشغيل تطبيق أو عملية كمسؤول ، يتم تمكينه. يشير النوع 3 (٪٪ 1938) إلى أن العملية لم تتلق سوى الحقوق المطلوبة لتنفيذ الإجراء المطلوب ، على الرغم من أنها طلبت امتيازات مرتفعة.

• • ملصق إلزامي: ملصق تكامل مخصص للعملية. 
  • معرف عملية المنشئ: قيمة سداسية عشرية فريدة مخصصة للعملية التي بدأت العملية الجديدة. 
  • اسم عملية المنشئ: المسار الكامل واسم العملية التي أنشأت العملية الجديدة.
  • سطر أوامر العملية: يوفر تفاصيل حول الوسيطات التي تم تمريرها إلى الأمر لبدء العملية الجديدة. يتضمن العديد من الحقول الفرعية بما في ذلك الدليل الحالي والتجزئة.